password spraying

Password spraying to odmiana ataku siłowego, w której atakujący próbuje jednego albo kilku popularnych haseł na wielu różnych kontach, żeby zdobyć prawidłowe dane uwierzytelniające ^[1]. CISA opisuje ją jako sprawdzenie jednego hasła na wielu kontach, zanim atakujący przejdzie do drugiego hasła ^[2]. Odwrócenie kolejności prób ma jeden cel: nie przekroczyć progu, po którym system blokuje pojedyncze konto ^[2]. W polskiej prasie technika występuje pod angielską nazwą, zwykle z objaśnieniem, że chodzi o logowanie przewidywalnymi hasłami na wiele kont ^[6].

Jak działa

Klasyczny atak siłowy uderza w jedno konto i szybko wyczerpuje dopuszczalną liczbę błędnych logowań. CISA zwraca uwagę, że typowe polityki pozwalają na trzy do pięciu nieudanych prób w określonym czasie ^[2]. Password spraying omija ten mechanizm: na każde konto przypada tylko jedna próba w danym oknie, a następna runda zaczyna się dopiero po wyzerowaniu licznika ^[2].

Atakujący potrzebuje dwóch rzeczy: listy nazw użytkowników i krótkiej listy haseł. Nazwy często pochodzą z enumeracji użytkowników albo z publicznie znanego schematu adresów e-mail. Hasła to wartości najczęściej wybierane przez ludzi. Przebieg jednej rundy pokazuje schemat poniżej.

RYS. 1Jedna runda password spraying

MITRE wymienia wśród typowych celów usługi SSH, FTP, RDP, LDAP, Kerberos, bazy danych i logowanie przez HTTP lub HTTPS ^[1]. CISA wskazuje, że atakujący szczególnie chętnie wybierają aplikacje SSO, aplikacje chmurowe z uwierzytelnianiem federacyjnym i pocztę elektroniczną ^[2].

Odmiany i porównanie

Password spraying bywa mylony z pokrewnymi technikami z tej samej rodziny. Różnią się tym, skąd pochodzą hasła i ile prób przypada na jedno konto.

Atak można prowadzić wolno i z wielu adresów naraz. MITRE opisuje kampanię grupy APT28, w której na każde atakowane konto przypadały średnio około czterech prób na godzinę, przez wiele dni lub tygodni ^[1]. Microsoft ustalił, że Midnight Blizzard użył niewielkiej liczby prób, żeby uniknąć wykrycia i blokad opartych na liczbie niepowodzeń, a ruch prowadził przez rozproszoną infrastrukturę domowych serwerów proxy ^[3].

W WordPressie

Formularz logowania WordPressa i interfejs XML-RPC są naturalnym celem, bo przyjmują login i hasło bez dodatkowych warunków. Dokumentacja WordPressa wskazuje, że xmlrpc.php jest częstym celem ataków zgadywania haseł, zwłaszcza przez metodę system.multicall ^[5]. Ta metoda pozwala zmieścić wiele prób logowania w jednym żądaniu HTTP.

Typowy scenariusz na stronie WordPress wygląda tak: atakujący odczytuje nazwy autorów z archiwów lub z interfejsu REST, a potem próbuje na każdej z nich tego samego hasła. Pojedynczy limit prób logowania liczony dla jednego konta tego nie zatrzyma, bo każde konto dostaje tylko jedną próbę. Skuteczniejsze są limity liczone dla adresu IP i dla całej witryny oraz analiza nieudanych logowań na wszystkich kontach razem.

Dokumentacja zaleca kilka warstw ochrony ^[5]:

• nie używać nazwy użytkownika admin i usunąć albo zdegradować stare konta;
• zachęcać do długich, unikalnych haseł i używania menedżera haseł;
• ograniczać tempo logowania na brzegu, w WAF albo CDN, lub na serwerze WWW;
• włączyć uwierzytelnianie dwuskładnikowe dla administratorów i innych kont uprzywilejowanych.

Warto też pamiętać o hasłach aplikacji: to osobne poświadczenia do API, które również powinny być silne i wycofywane, gdy nie są potrzebne.

Zagrożenia i skutki

Skutkiem udanego ataku jest przejęcie konta. Wystarczy, że jedna osoba w organizacji używa hasła z listy atakującego. Ryzyko rośnie, gdy przejęte konto ma szerokie uprawnienia albo daje dostęp do poczty, bo poczta pozwala resetować hasła do innych usług. CISA opisuje, że po wejściu na konto pocztowe atakujący synchronizują skrzynkę i ustawiają przekazywanie wiadomości ^[2].

Technikę stosują także grupy APT. MITRE przypisuje ją między innymi grupom APT28, APT29, APT33 i HAFNIUM ^[1].

Jak się bronić

MITRE wymienia trzy główne środki zaradcze: polityki blokady kont po nieudanych logowaniach, uwierzytelnianie wieloskładnikowe, zwłaszcza na usługach dostępnych z internetu, oraz polityki haseł zgodne z wytycznymi NIST ^[1]. CISA dodaje przegląd procedur działu wsparcia, który ustawia i resetuje hasła ^[2].

Wytyczne NIST wymagają, by weryfikator porównywał nowe hasło z listą haseł powszechnie używanych, przewidywalnych lub skompromitowanych ^[4]. To uderza bezpośrednio w listę atakującego, bo składa się ona właśnie z takich haseł. NIST wymaga też ograniczenia kolejnych nieudanych prób na jednym koncie do nie więcej niż 100 ^[4]. Szerzej o haśle odpornym na zgadywanie mówi hasło bezpieczne hasła.

Wykrywanie wymaga patrzenia na wiele kont jednocześnie. MITRE zaleca szukanie nieudanych logowań na wielu kontach z użyciem tych samych lub podobnych haseł w krótkim czasie ^[1]. CISA jako sygnały wymienia gwałtowny wzrost prób logowania do portalu SSO, tysiące prób z jednego adresu IP i logowania z miejsc niezgodnych ze zwykłą lokalizacją pracowników ^[2]. Zbiorczą ochronę opisuje hasło ochrona przed atakami brute force.

Historia i przykłady

CISA wydała ostrzeżenie TA18-086A o atakach password spraying 27 marca 2018 roku ^[2]. Najgłośniejszy przypadek dotyczył Microsoftu. Firma wykryła atak 12 stycznia 2024 roku; grupa Midnight Blizzard weszła przez password spraying na starsze, nieprodukcyjne konto testowego tenanta, które nie miało włączonego MFA ^[3]. Niebezpiecznik relacjonował, że atakujący uzyskali dostęp do niewielkiej części skrzynek kadry kierowniczej oraz pracowników działów bezpieczeństwa i prawnego ^[6].

Nie każde masowe włamanie to password spraying. W styczniu 2026 roku, przy fali włamań do e-dzienników szkolnych, przedstawiciele Vulcana i Librusa podali, że nie znaleźli śladów tej techniki, a konta nauczycieli przejęto hasłami z wycieków ^[7]. Taki przebieg odpowiada raczej technice credential stuffing.