Microsoftの「Exchange」チームが「Exchange Online」ユーザーに対し、多くの顧客が基本認証（Basic認証）を使ったパスワードスプレー攻撃の標的になっていると警告している。
提供：Getty
Microsoftは、10月1日からExchange Onlineの全世界のテナントで基本認証の廃止を開始している。基本認証の廃止に伴い、2段階認証に対応していないアプリではパスワードが使えなくなる。
多要素認証（MFA）を使えばパスワードスプレー攻撃とパスワード類推攻撃の大部分を防げるのだが、基本認証はMFAに対応していない。
MicrosoftのExchangeチームのGreg Taylor氏は、「Exchange Onlineで基本認証を廃止するのは、皆さんのユーザーとデータを保護するためだ。毎日私が目にしているエビデンスは、パスワードスプレー攻撃の頻度が高まっていることを明確に示している」と述べている。
パスワードスプレー攻撃では、攻撃者がよく使われる弱いパスワードのリストを使い、さまざまなユーザーアカウントに対しクラッキングを試みる。
Microsoftは、2022年末までに基本認証を段階的に廃止していく。廃止するテナントはランダムに選択し、廃止の7日前に警告を送信する。
Taylor氏は、顧客は直ちにExchange Onlineの認証ポリシーを設定するべきであり、「特定のプロトコルで基本認証を使っているはずだと分かっているアカウントだけが、そのプロトコルで基本認証を使えるようにしておく」べきだと述べている。
Taylor氏は続けて、まずは直ちにSMTPとIMAPに取りかかるべきだとしている。
この記事は海外Red Ventures発の記事を朝日インタラクティブが日本向けに編集したものです。
