目次
はじめに
2026年9月に取得したトラフィックデータをもとに、Windowsサーバーへの認証攻撃の傾向を分析しました。
本レポートでは、以下の項目について集計しています。
- 攻撃元ネットワーク
- 攻撃元ASN
- 攻撃元国
- 狙われたアカウント
なお、お客様環境保護のため、環境固有のアカウント名やシステム情報は除外しています。
集計対象
- 対象期間：2026年9月1日～2026年9月30日
- 分析対象：Windows Server環境
- 集計対象：認証失敗イベント（EventID 4625）
今月の総括
今月最も多く確認された攻撃は、SMB/NTLMを利用した認証攻撃でした。
特に特定の海外ネットワークから継続的なブルートフォース攻撃が観測されています。
攻撃元ネットワーク TOP10
| 順位 | 攻撃元ネットワーク | 観測回数 |
|---|---|---|
| 1位 | 194.165.16.0/24 | 110,434,577 |
| 2位 | 107.150.59.0/24 | 31,135,954 |
| 3位 | 185.122.166.0/24 | 28,828,102 |
| 4位 | 185.116.237.0/24 | 26,246,497 |
| 5位 | 172.82.67.0/24 | 20,835,541 |
| 6位 | 172.82.64.0/24 | 19,242,402 |
| 7位 | 185.44.66.0/24 | 18,971,193 |
| 8位 | 172.82.66.0/24 | 16,628,845 |
| 9位 | 185.116.236.0/24 | 14,232,586 |
| 10位 | 169.58.124.0/24 | 12,877,611 |
攻撃元国 TOP10
※ ASN情報をもとに集計（同率を含めて計12か国）
| 順位 | 国名・地域名 |
|---|---|
| 1位 | アメリカ合衆国 |
| 2位 | 中国 |
| 3位 | フランス、ベトナム、韓国 |
| 6位 | イタリア |
| 7位 | 日本、香港、クウェート、ペルー、シンガポール、ドイツ |
攻撃元ASN TOP10
※ ASN情報をもとに集計（同率を含めて計13件）
| 順位 | ASN |
|---|---|
| 1位 | AS49683 |
| 2位 | AS51167、AS132203、AS38365 |
| 5位 | AS40021、AS14956、AS137718、AS45102、AS37963 |
| 10位 | AS42961、AS45090、AS4811、AS58519 |
狙われたアカウント TOP10
※ 環境固有アカウントは除外
| 順位 | アカウント名 | 観測回数 |
|---|---|---|
| 1位 | administrator | 16,508,365 |
| 2位 | admin | 652,206 |
| 3位 | user | 345,663 |
| 4位 | administrador | 199,110 |
| 5位 | pc | 184,808 |
| 6位 | test | 170,925 |
| 7位 | administrateur | 61,241 |
| 8位 | default | 40,840 |
| 9位 | defaultuser | 32,751 |
| 10位 | user1 | 30,794 |
攻撃傾向
管理者アカウントへの集中攻撃
もっとも多く攻撃対象となったのは、administrator アカウントでした。
一般的な攻撃ツールやボットは、管理者権限を持つ可能性が高いアカウントを優先的に攻撃する傾向があります。
多言語辞書攻撃
administrator だけでなく、以下のような多言語環境を想定したアカウント名への攻撃も確認されています。
- administrador
- administrateur
- администратор
攻撃者が国際的な辞書データベースを利用している可能性があります。
継続的な攻撃活動
上位ネットワークは単発ではなく、期間を通して継続的に認証試行を行っていました。
自動化されたブルートフォース攻撃の可能性が高いと考えられます。
推奨対策
- 管理者アカウント名の変更
- 長く複雑なパスワードの利用
- パスワードの使い回し禁止
- 多要素認証（MFA）
- RDP接続元制限
- WinRM接続元制限
- SMBアクセス制限
- GeoIPフィルタリング
- 不要ポートの閉鎖
編集後記
今月は特定の海外ネットワークから非常に大規模な認証攻撃を観測しました。
認証攻撃のほとんどは失敗に終わっていますが、管理者アカウントを狙った継続的な試行が確認されており、適切なアクセス制御と監視の継続が重要です。
今後も月次レポートとして攻撃元ネットワークや攻撃傾向の変化を追跡していく予定です。
