概要
セキュリティ企業Huntressは、2026年上半期にパスワードスプレー攻撃が155倍に急増したと報告した。特に目を引くのは、Azure CLIを標的とした「LSHIY」と呼ばれるキャンペーンで、6月中旬の2週間だけで8100万回を超えるログイン試行が観測され、78件のアカウント侵害が確認された。攻撃者は過去のデータ侵害で流出した有効なユーザー名とパスワードの組み合わせを大量に再利用し、Azure・Entraリソースを管理するための管理者向けコマンドラインツールであるAzure CLIへのログインを試みていた。攻撃インフラは当初IPv6アドレス範囲「2a0a:d683::/32」を保有するホスティング企業を経由していたが、検出を逃れるためFranTechや3xK Techなど複数のプロバイダーへと移行を繰り返していた。
MFAをすり抜ける手口
この攻撃で特に問題視されているのが、多要素認証（MFA)を導入していた組織でも侵害を防げなかった点だ。Huntressが分析した23組織のうち、8組織はそもそもMFAを導入していなかったが、残る15組織はMFAを導入していたにもかかわらず、攻撃者のサインイン試行には適用されていなかった。原因は、レガシーなOAuth 2.0の「Resource Owner Password Credentials（ROPC)」フローの悪用にある。ROPCは対話型のMFAプロンプトをサポートしない仕組みであるため、攻撃者はユーザーの認証情報を直接「/token」エンドポイントへ送信するだけでMFAを完全に迂回できてしまう。Huntressの脅威インテリジェンス担当者は、ROPCについて「技術的には正規の認可方式だが、実質的には認証を偽装する手口だ」と指摘している。多くの組織では条件付きアクセスポリシーが特定のアプリケーションやユーザーグループ、信頼された場所に限定して適用されており、こうした限定的な設計がROPC経由の攻撃を素通りさせる隙間を生んでいた。
推奨される対策
Huntressは対策として、パスワード運用の衛生管理強化やパスワードレス認証への移行検討に加え、ROPCフロー自体の無効化を強く推奨している。またAzure CLIの利用を管理者以外のユーザーに広げないよう制限すること、そして条件付きアクセスポリシーを全ユーザー・全クラウドアプリケーション・全クライアントアプリタイプに例外なく適用することを求めている。具体的にはuserStrongAuthClientAuthNRequiredのような、より強固な条件付きアクセス設定の導入が挙げられている。担当者は「適切に設定・管理された条件付きアクセスはスーパーパワーになり得る」と述べ、MFA導入自体だけでなく、その適用範囲に抜け漏れがないかを見直す重要性を強調している。