パスワードへの攻撃の種類と対策｜総当たり・辞書・リバース・パスワードリスト攻撃の違い

総当たり攻撃、辞書攻撃、リバースブルートフォース攻撃、パスワードリスト攻撃。名前が似ていて、試験の勉強をしていると混ざりやすい用語です。

この記事では、4つの手口を**「何を固定し、何を変えて試すのか」**という1つの軸で整理し、攻撃ごとに効く対策を対応づけます。IPAと総務省の公開資料で確認した対策の考え方も合わせて紹介します。

パスワードへの攻撃とは？ なぜ成立するのか

多くのサービスは、入力された利用者IDとパスワードが登録内容と合えば、本人だとみなしてログインさせます。裏を返すと、組さえ合っていれば、入力したのが本人かどうかをサービス側は確かめられません。

IPAも、攻撃者がIDとパスワードの両方を知れば不正にログインでき、個人情報の流出や金銭的な被害につながるおそれがあると説明しています。パスワードへの攻撃は、この「組」を手に入れる、または当てるための手口の総称です。

4つの攻撃の違いは「固定するもの」と「変えるもの」

まず全体を表にします。

最初の2つは「1人に狙いを定めて、パスワードを次々に替える」形です。3つ目はその逆で、4つ目は「当てる」のではなく「知っている正解を別の場所で使う」点が決定的に違います。

辞書攻撃：意味のある語を順に試す

辞書攻撃は、辞書に載っている単語や、よく使われる言葉・名前・地名などを集めたリストを、パスワードの候補として順に試す手口です。総務省のサイトも、パスワードを機械的に推測するツールが辞書に登録された単語を組み合わせて試すことを挙げ、推測されやすい文字列を避けることが基本だとしています。

効く対策は、辞書に載っている語・名前・誕生日などを使わないことです。意味のある語は、候補にあらかじめ入っています。

総当たり攻撃：組合せを端から全部試す

総当たり攻撃（ブルートフォース攻撃）は、辞書を使わずに、文字の組合せをすべて試す手口です。時間をかければ理論上は必ず当たりますが、試す回数は文字数と文字の種類で大きく変わります。

効く対策は、文字数を増やすこと、文字の種類を混ぜること、そして決められた回数を超えて失敗したらアカウントを一時的に使えなくする（アカウントロックアウト）ような試行回数の制限です。総務省は、攻撃による被害の拡大を防ぐ対策としてアカウントロックアウトを挙げています。

総務省の「国民のためのサイバーセキュリティサイト」では、パスワードは理想的には10文字以上のランダムな英数字の並びで、数字・記号・大文字小文字を混ぜるとよいとされています。

リバースブルートフォース攻撃：パスワードを固定してIDを変える

リバース（逆）ブルートフォース攻撃は、総当たり攻撃の「固定と変更」を入れ替えたものです。攻撃者は、多くの人が使いがちなパスワードを1つ決めて固定し、そのうえで利用者IDのほうを片端から変えて試します。

この手口の厄介な点は、1つの利用者IDあたりの失敗が1回ずつしか起きないことです。アカウントロックアウトは「同じIDで失敗が続いたとき」に働く仕組みなので、この攻撃にはかかりにくくなります。

効く対策は、よくあるパスワードを使わないこと（サービス側が推測しやすいパスワードの登録を拒否することも含みます）と、多要素認証の追加です。

総当たり攻撃とリバースブルートフォース攻撃の違い

パスワードリスト攻撃：流出した「正解」をそのまま使う

パスワードリスト攻撃は、何らかの方法で入手した他人のIDとパスワードの組を、リストのように使って、さまざまなサイトへのログインを試みる手口です。総務省は「リスト型アカウントハッキング攻撃（リスト型攻撃）」と呼んでいます。

仕組みは次のとおりです。

1. Aさんが、サービスXとサービスYで同じIDとパスワードを使っている
2. サービスXから、登録情報が流出する
3. 攻撃者が、その組を手に入れて、サービスYでそのまま入力する
4. Aさんが使い回していれば、サービスYにログインできてしまう

総務省の対策集（平成25年12月）は、攻撃者はパスワードの使い回しに着目しているとしたうえで、トレンドマイクロ社の調査（2012年12月）を引いて、利用者の約7割が3種類以下のパスワードを複数のサイトで使い回していると紹介しています。これは当時の調査結果なので、現在の割合を示すものではありませんが、使い回しが攻撃の前提になっていることがよく分かります。

この手口は「当てている」のではなく「正解を知って試している」ので、パスワードを複雑にしても防げません。総務省は、サービスごとに異なるパスワードを設定することが本質的な対策だとしています。IPAも、長く複雑にすることに加えて、複数のサービス間で使い回さないことが重要だとしています。

攻撃ごとに効く対策の対応表

試験でも実務でも、「どの攻撃に、どの対策が効くか」を結びつけることが大切です。

多要素認証がどの手口にも効くのは、パスワードが知られても、それだけではログインできなくなるからです。IPAは、基本のうえにさらに一歩進めた対策として多要素認証の設定を推奨しています。多要素認証の仕組みそのものは、今後の記事で詳しく整理する予定です。

試験ではどう問われる？ 見分け方の手順

情報セキュリティマネジメント試験では、用語を答える形だけでなく、場面から手口と対策を選ぶ形で問われやすい分野です。次の順で考えると、選択肢を絞れます。

1. 正解を知っているか？ 他サービスから流出したIDとパスワードがそのまま使われているなら、パスワードリスト攻撃。原因は使い回し
2. 何を固定して、何を変えているか？ IDを固定してパスワードを変えているなら、辞書攻撃か総当たり攻撃。パスワードを固定してIDを変えているなら、リバースブルートフォース攻撃
3. 候補の作り方は？ 単語リストなら辞書攻撃、組合せを全部なら総当たり攻撃
4. 原因に合う対策を選ぶ。 使い回しが原因ならパスワードの変更依頼と使い回し禁止の案内、さらに多要素認証。アカウントロックが効かない状況なら、ロック以外の対策（多要素認証など）を選ぶ

「複雑なパスワードにする」はよい対策ですが、パスワードリスト攻撃には決め手になりません。原因と対策の組み合わせが合っているかを確認するのが、点を落とさないコツです。

学習の進め方と授業のご案内

4つの手口は、名前で暗記するより、固定するものと変えるものの表を自分で書き出してみると定着します。書けるようになったら、攻撃ごとに効く対策を表に足してみてください。

攻撃の用語の整理には、脅威・脆弱性・リスクの違いも役立ちます。マルウェアによる被害の整理はランサムウェアと二重脅迫の記事も参考にしてください。

情報セキュリティマネジメント講座では、パスワードへの攻撃の授業で、4つの手口の違いと効く対策を順に学べます。料金は月額 817円〜（年額プラン9,800円・一括払いの月あたり）です。月額プランは2,980円です。最新の料金は講座ページで確認してください。

よくある質問

Q. 総当たり攻撃と辞書攻撃は何が違いますか？

候補の作り方が違います。辞書攻撃は、よく使われる単語や名前のリストを試します。総当たり攻撃は、文字の組合せを端から全部試します。どちらも、利用者IDを固定してパスワードを変える形は同じです。

Q. パスワードリスト攻撃は、複雑なパスワードなら防げますか？

防げません。この攻撃は、他サービスから流出した正しい組をそのまま使うため、複雑さは関係ないからです。サービスごとに違うパスワードにすることが本質的な対策で、多要素認証を加えるとさらに安全です。

Q. アカウントロックをかけておけば、どの攻撃も防げますか？

防げません。アカウントロックは、同じIDで失敗が続く総当たり攻撃には効きますが、IDを次々に変えるリバースブルートフォース攻撃や、1回で成功するパスワードリスト攻撃には効きにくいです。

Q. パスワードは定期的に変えたほうがよいですか？

総務省のサイトは、定期的な変更は必須ではないとしています。サービスから流出したことが分かったときにすぐ変更し、サービスごとに違うパスワードを使うことが大切です。

まとめ