Huntressは2026年前半に、漏えいした認証情報と、常に多要素認証（MFA）の保護対象となるわけではない旧式の認証経路を利用した一連の攻撃において、パスワードスプレー攻撃が155倍に増加したことを確認した。主な事例には、システム管理者がAzureおよびEntraのリソースを管理するために使用するAzure CLIツールを標的としたキャンペーンが含まれていた。
この活動は、インターネットホスティング企業LSHIY LLCが管理するIPv6範囲から発生した。キャンペーンは数か月前に始まっていたが、Huntressは6月中旬、2週間でこれに関連する8,100万件を超えるログイン試行を記録し、最終的に78件のアカウントが侵害されたことを確認した。同社は、このキャンペーンに関連する侵害後の活動を確認していない。一方、HuntressのプロダクトマネージャーであるRich Mozeleskiは、攻撃者がダークウェブで再販売する準備として、認証情報が有効かどうかを確認していた可能性が高いと述べた。
攻撃はどのように実行されたのか？
パスワードスプレーでは、1つのアカウントに対して大量のパスワードを試すのではなく、限られた数の一般的または漏えいしたパスワードを多数のアカウントで試す。この手法により、攻撃者はアカウントロックアウトの制限や直接的なアラートを回避しやすくなる。通常、攻撃は企業のウェブサイト、LinkedIn、データ漏えい、フィッシングキャンペーンから有効なユーザー名を収集し、その後、既知のパスワードや企業名、季節に関連するパスワードの短いリストを作成することから始まる。
- 候補となるユーザー名を収集する。
- 漏えいまたは一般的なパスワードの限定的なリストを作成する。
- 1つのパスワードを複数のアカウントに対して低頻度で試す。
- 侵害したアカウントを、横方向の移動、ビジネスメール侵害、追加データの窃取に利用する。
Huntressによると、LSHIYのキャンペーンは、広範な試行と、以前に漏えいしたもののまだ変更されていなかった有効なユーザー名とパスワードの組み合わせの再利用を組み合わせていた。そのため、成功した試行は、ランダムにパスワードを推測するよりも価値が高かった。
認証経路の脆弱性
攻撃者は、ROPCとして知られるResource Owner Password Credentialsの仕組みも悪用した。これはOAuth 2.1で廃止された古いOAuthグラントである。この仕組みでは、ユーザー名とパスワードがエンドポイント/tokenに直接送信される。また、MFAやシングルサインオン（SSO）などの最新の認証フローを提供せず、多要素認証の対話型プロンプトも表示しない。
実際には、組織が条件付きアクセス（CAP）ポリシーを通じてMFAを有効にしていた場合でも、そのポリシーがROPC経路を明確に対象としていなければ、再利用された有効なパスワードによってアクティブなアクセスセッションが確立される可能性がある。Huntressの脅威インテリジェンス担当主任インシデントリーダーであるAndrew “Spike” Brandtは、この仕組みについて、委任方式と呼ばれているものの、技術的には「なりすましの方法」だと説明した。
実際に何が変わるのか？
このキャンペーンは、MFAを一般的に有効化するだけでは、すべてのログイン経路が保護されるとは限らないことを示している。古い経路やアクセス・ポリシーの対象外となっている例外によって、漏えいした認証情報が対話型の保護を回避する機会を得る可能性がある。Huntressは、LSHIYが後に元のIP範囲からの攻撃を停止し、攻撃者が同社のBring Your Own IP（BYOIP）サービスを利用したことを確認したと述べた。