ブルートフォース攻撃（brute force attack）

分類

テクノロジ系 セキュリティ

出る試験

基本情報応用情報

重要度

★★★★☆

もう少し詳しい説明

ブルートフォース攻撃（brute force attack、総当たり攻撃）は、パスワードとして考えられる文字の並びを、片端から試して破る攻撃です。

brute force は「力ずく」という意味です。頭を使わず、全部試すのが特徴です。

似た攻撃が4つある

名前が似ていて取り違えやすいので、先に並べます。違いは「何を固定して、何を変えるか」だけです。

リバースのほうが止めにくい

逆向きの攻撃がわざわざ用意されているのには、理由があります。

多くのサイトは、「同じIDで何回も失敗したら、そのIDを一時的に止める」という守りを持っています。これをアカウントロックと呼びます。ブルートフォース攻撃は、ここで止まります。

ところがリバースブルートフォース攻撃は、IDを次々に変えます。1つのIDから見れば失敗は1回ずつなので、アカウントロックに引っかかりません。

パスワード側は password や 123456 のような、誰かが使っていそうな1つに固定します。利用者が何万人もいれば、そのうちの誰かは使っています。

守りの仕組みを知ったうえで、引っかからない形に変えてある、という関係です。

パスワードリスト攻撃は、総当たりではない

4つの中で、パスワードリスト攻撃だけが性質が違います。試すのは漏れた組だけなので、総当たりではありません。

効いてしまういちばんの理由は、同じIDとパスワードを、複数のサイトで使い回している人がいることです。

A社から漏れた組を、B社で試す。使い回していれば、1回で入れてしまいます。何回も失敗しないので、アカウントロックも働きません。

「パスワードを使い回さない」が対策として挙がるのは、この攻撃のためです。

対策

多要素認証は、知っているもの（パスワード）、持っているもの（スマートフォン）、身体の特徴（指紋）のうち、2つ以上を組み合わせて確かめるやり方です。パスワードが破られても、もう1つが残ります。4つすべてに効くのは、これだけです。

長さを1文字増やすと、どれだけ変わるか

総当たりにかかる時間は、試す組合せの数で決まります。

使える文字が62種類（英小文字26＋英大文字26＋数字10）だとします。

4文字 … 62⁴ ＝ 約1,478万通り 5文字 … 62⁵ ＝ 約9億1,600万通り

1文字増やすだけで、62倍になります。文字の種類を増やすより、長さを増やすほうがよく効くのは、この掛け算のためです。

いっぽう、計算の速い機械が使えるようになるほど、同じ時間で試せる数は増えます。昔は十分だった長さが、いまは足りない、ということが起きます。

試験ではこう出る

科目A（旧・午前）のセキュリティ分野で頻出です。いちばん多いのは、4つの攻撃の説明を結び付けさせる問題です。

判断の軸は1つです。何を固定して、何を変えているか。

• IDを固定してパスワードを変える … ブルートフォース
• パスワードを固定してIDを変える … リバースブルートフォース
• 漏れた組をそのまま使う … パスワードリスト

「リバース」が付いたら向きが逆、と覚えておけば分かれます。

次に多いのが、対策を選ばせる問題です。アカウントロックが効かない攻撃はどれか、という聞き方もされます。答えはリバースブルートフォース攻撃とパスワードリスト攻撃で、どちらも同じIDで何度も失敗しないためです。

応用情報では、文字数と組合せの数の計算まで出ます。使える文字の種類をn、長さをkとして、n^k を出すだけです。

関連する用語

ハッシュ関数

パスワードは、そのものではなくハッシュ値で保存する。破られたときの被害を小さくするため

共通鍵暗号方式

暗号化と復号で同じ鍵を使う方式。鍵の長さが短いと、総当たりで破られる

サイバーキルチェーン

攻撃を段階に分けた枠組み。パスワードを破るのは、侵入にあたる段

認証局（CA）

公開鍵の持ち主を保証する組織。パスワード以外の確かめ方を支える仕組み

ミニクイズ

この分野をまとめて解く → セキュリティのミニテスト（全47問）

最終更新：2026-11-05