ブルートフォース攻撃とは

このシリーズ「攻撃者の視点を知る」では、Webサイトを狙う代表的な攻撃の手口を、1つずつやさしく解説します。目的は攻撃の「やり方」を知ることではなく、しくみを知ることで「何を」「なぜ」「どう」守るべきかを判断できるようになることです。実際に攻撃を試すための情報は含みません。ここまでのSQLインジェクションとXSSは、入力欄に紛れ込む手口でした。ここからの2つは、サイトの中身ではなく「ログイン」そのものを狙う手口です。

ブルートフォース攻撃とは

ブルートフォース攻撃（総当たり攻撃）とは、ログイン画面などに対して、考えられるID・パスワードの組み合わせをプログラムで次々に自動送信し、当たるものを探す手口です。1つずつ人の手で試すのではなく、よく使われがちな単語やパターンのリストを使って、短時間に大量の組み合わせを試すのが特徴です。

玄関の前に立った泥棒が、考えられるすべての形の鍵を束にして持ち、1本ずつ鍵穴に差し込んで試していく場面を想像してください。人の手で1本ずつ試すなら時間がかかりますが、この作業を機械が代わりにやってくれるとしたら、短時間で何千本もの鍵を試せてしまいます。ブルートフォース攻撃は、この「片っ端から試す」作業をプログラムに行わせる手口です。

何が起きるおそれがあるのか

• 管理画面に不正にログインされ、サイトの内容を書き換えられる
• 見つかったID・パスワードが、ほかのサービスでも使い回されていないか調べられ、被害が広がる
• 大量のログイン試行がサーバーに負荷をかけ、サイトが重くなる

なぜ成立してしまうのか

ログイン試行の回数に制限がなく、何度失敗しても何度でも試せる作りのサイトでは、時間をかければいつか当たる組み合わせに行き当たってしまいます。また、パスワードが短い・よくある単語である場合は、試される組み合わせの数そのものが少なくて済むため、見つかるまでの時間も短くなります。

サイト運営者としての備え

1. ログイン失敗の回数を制限する：一定回数失敗したアカウントやアクセス元を一時的にロックする仕組み（アカウントロックポリシー）があるかを制作会社に確認しましょう。
2. 長く・使い回していないパスワードにする：短い・推測しやすいパスワードは、試される組み合わせの数が少なく済んでしまいます。くわしくは「パスワード管理の基本」で解説しています。
3. 可能であれば2段階認証を使う：パスワードが当たってしまっても、もう一段階の確認があれば不正ログインを防げます。

管理画面を守るための全体的なポイントは「管理画面を守る基本」にまとめています。外から見える範囲の設定は無料診断で確認できます。

このシリーズの続き

ブルートフォース攻撃と似ていますが、すでに流出済みのID・パスワードを使う「クレデンシャルスタッフィング」という手口もあります。考えられる鍵を1本ずつ試すのではなく、「すでにどこかの扉で実際に使われていた鍵」を試す点が違います。あわせて読むと、パスワードを狙う攻撃の全体像がつかめます。

参考にした公開情報

• OWASP：Brute Force Attack（英語）

この教材は公開情報をもとに、セキュリティ担当がいない方にも分かるよう編集部がまとめたものです。個別のサイトの安全を保証するものではありません。