アカウントロックアウトとパスワードスプレー攻撃とは？

アカウントロックアウトとパスワードスプレー攻撃とは、一定回数の認証失敗でアカウントを一時停止する仕組みがロックアウト。総当たりには有効だが、攻撃者が「よくあるパスワード1つを多数のアカウントへ順に試す」パスワードスプレー攻撃では各アカウントの失敗が1回にとどまり、閾値に達しないため検知できない。

あかうんとろっくあうととぱすわーどすぷれーこうげき

ITパスポートの頻出用語／テクノロジ系

アカウントロックアウトとパスワードスプレー攻撃の意味

一定回数の認証失敗でアカウントを一時停止する仕組みがロックアウト。総当たりには有効だが、攻撃者が「よくあるパスワード1つを多数のアカウントへ順に試す」パスワードスプレー攻撃では各アカウントの失敗が1回にとどまり、閾値に達しないため検知できない。

閾値5回・15分の自動解除といった設定にしつつ、アカウント単位に加えて発信元IP単位・時間帯単位の失敗率も監視する。スプレー攻撃はアカウント横断で見て初めて浮かび上がるため、認証ログを集約して「成功率の低い大量ログイン」として検出する設計にする。

ロックアウトは可用性への攻撃に転用される。利用者IDが分かれば意図的に失敗させて業務停止に追い込めるため、閾値を厳しくしすぎない、自動解除にする、といった調整が要る。安全側に倒せば良いという単純な話ではない。

最終更新：2026-08-25／解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。