【情報セキュリティマネジメント】パスワードへの攻撃｜総当たり・辞書・リバース・リスト攻撃の違い

パスワードへの攻撃では、ブルートフォース攻撃、辞書攻撃、リバースブルートフォース攻撃、パスワードリスト攻撃など、似た名称が並びます。

見分けるポイントは、次の二つです。

1. 利用者IDとパスワードのどちらを固定し、どちらを変えているか
2. 試すパスワード候補をどこから入手したか

この二点を確認すれば、名称を丸暗記しなくても事例から判断できます。

この記事では、四つの攻撃の違いに加え、オンライン攻撃とオフライン解析、利用者側・サービス提供側の対策、多要素認証とパスキーまで整理します。

先に結論：固定するものと候補の入手元を見る

この表は、SGで各攻撃を区別するときの典型的な形です。実際の攻撃が常に一つのIDだけを対象にするとは限らないため、固定・変更の向きと候補の入手元を組み合わせて判断します。

特に重要なのは、パスワードリスト攻撃です。

攻撃者がパスワードを推測するのではなく、既に漏えいした正しい組合せを使うため、長く複雑なパスワードでも、複数サービスで使い回していれば被害を受ける可能性があります。

1．ブルートフォース攻撃：考えられる組合せを広く試す

ブルートフォース攻撃は、総当たり攻撃とも呼ばれます。

対象となる利用者IDを固定するなどして、考えられるパスワードの組合せを機械的に次々と試す攻撃です。

例えば、次のように候補を変えて試します。

• `aaaaaa`
• `aaaaab`
• `aaaaac`
• 数字や記号を含む別の組合せ
• 長さを変えた組合せ

対象となる文字種と長さが有限であり、試行を妨げる仕組みがなければ、候補を広く試すことができます。

ログに現れやすい特徴

• 一つの利用者IDへ短時間に多数のログイン失敗がある
• 同一の送信元や端末から連続して試行される
• 一定間隔又は短時間に大量の試行が続く
• 多数の失敗後に不審な成功ログインが発生する

主な対策

• 長く推測されにくいパスワードを使用する
• ログイン試行をレート制限する
• 失敗回数に応じて待機時間を長くする
• 不自然な試行を監視する
• 多要素認証を利用する
• パスワードだけに依存しない認証方式を利用する

アカウントロックだけへ依存しない

一定回数の失敗でアカウントをロックする仕組みは、大量試行を抑える効果があります。

ただし、攻撃者が他人のIDへ故意にログイン失敗を繰り返すと、正規利用者をログインできない状態にする利用妨害へ悪用される場合があります。

そのため、次を組み合わせます。

• 一時的な待機時間
• 送信元ごとのレート制限
• 端末・地域・時間帯の評価
• CAPTCHAなどの自動試行対策
• 多要素認証
• 利用者への異常通知
• アカウント横断のログ監視

2．辞書攻撃：人が選びやすい候補へ絞って試す

辞書攻撃は、辞書に掲載される単語、名前、地名、企業名、よく使われる文字列などを候補として試す攻撃です。

候補の例

• `password`
• `welcome`
• `company2026`
• サービス名＋数字
• 利用者名・誕生日
• 季節名＋年
• キーボード上の並び
• よくある語へ数字や記号を付けたもの

ブルートフォース攻撃が広い組合せを機械的に試すのに対し、辞書攻撃は、人が選びそうな候補へ絞り、少ない試行で成功率を上げる点が特徴です。

文字種を増やすだけでは十分とは限らない

`Password1!`のように、大文字、数字、記号を形式的に追加しても、元となる単語や変換規則が広く知られていれば推測されやすい場合があります。

重要なのは、単に文字種の条件を満たすことではなく、次のようなパスワードを避けることです。

• 一般的な単語
• 利用者名・サービス名
• 誕生日・電話番号
• よく使われる置換規則
• 漏えい済みパスワード
• 初期パスワード

主な対策

• 十分に長いパスワード又はパスフレーズを使う
• 一般的・推測されやすい文字列を避ける
• 漏えい済み・よく使われるパスワードを登録時に拒否する
• パスワードマネージャでランダムな値を生成する
• 多要素認証を利用する

3．リバースブルートフォース攻撃：少数のパスワードを多数IDへ試す

リバースブルートフォース攻撃は、一つ又は少数のよく使われるパスワードを、多数の利用者IDへ試す攻撃です。

通常のブルートフォース攻撃とは、変化させる側が逆になります。

事例

攻撃者が「Password123」などの少数のよく使われるパスワードを、数千件の利用者IDへ一回ずつ試していた。

この場合、パスワードを固定し、IDを次々に変えているため、リバースブルートフォース攻撃です。

パスワードスプレーとの関係

少数の共通パスワードを多数のアカウントへ、一定の間隔を空けながら試す手口は、パスワードスプレーと呼ばれることがあります。

教材では、次のように整理します。

• リバースブルートフォース攻撃：パスワードを固定又は少数にし、IDを変える攻撃の考え方
• パスワードスプレー：少数のよく使われるパスワードを、多数のアカウントへ低頻度で試す具体的な手口

文献によって用語の使い分けには幅があります。SGでは、少数のパスワードを多数IDへ試すという動作を判断できれば十分です。

アカウントロックを回避しやすい理由

一つのアカウントには少ない回数しか試さないため、アカウント単位の失敗回数がロックの基準へ達しない場合があります。

そのため、サービス提供側は一つのアカウントだけでなく、次のような横断的な傾向を確認します。

• 同じ送信元・端末から多数IDへ試行されていないか
• 多数アカウントで少数回ずつ失敗していないか
• 試行の間隔や対象IDの並びに規則性がないか
• 通常とは異なる地域・時間帯・端末から試行されていないか
• 存在しない利用者IDへ広く試行されていないか

主な対策

• よく使われる・漏えい済みパスワードを登録させない
• 多数アカウントを横断してログを監視する
• 送信元・端末・試行パターンごとにレート制限する
• リスクベース認証を利用する
• 多要素認証を利用する

4．パスワードリスト攻撃：漏えいした組合せを別サービスへ試す

パスワードリスト攻撃は、他のサービスなどから漏えいした利用者IDとパスワードの組合せを、別のサービスへのログインに試す攻撃です。

クレデンシャルスタッフィングとも呼ばれます。

事例

サービスAから、次の認証情報が漏えいしたとします。

利用者ID：user@example.jp
パスワード：Example-Password

同じ利用者がサービスBでも同じ組合せを使用していると、攻撃者はパスワードを推測しなくてもログインできる可能性があります。

パスワードリスト攻撃の特徴

• 実在するID・パスワードの組合せが使われる
• 別サービスから漏えいした情報が使われる
• パスワードの使い回しが被害を拡大する
• 成功したログインは正規利用者の操作に見える場合があり、失敗回数だけでは検知しにくい
• 漏えい情報が古い場合などは失敗も混在するため、送信元・端末・対象アカウントを横断して確認する
• 自動化によって大量のサービス・アカウントへ試行される

長く複雑なパスワードでも防げない場合がある

パスワードが十分に長く複雑でも、その値自体が別サービスから漏えいし、同じ組合せを使い回していれば、攻撃者は推測せずに使用できます。

したがって、対策の中心は次のとおりです。

• サービスごとに異なるパスワードを使う
• パスワードマネージャを利用する
• 多要素認証を有効にする
• パスキーなどのフィッシング耐性をもつ認証を利用する
• 漏えい通知を受けたら、同一・類似パスワードを使う全サービスを確認する

5．四つの攻撃を事例から見分ける

判断するときの順序

1. 一つのIDへ失敗が集中しているか
2. 多数のIDへ少数回ずつ試しているか
3. 候補は機械的な組合せか、人が使いそうな単語か
4. 候補は推測したものか、実際に漏えいした組合せか

6．オンライン攻撃とオフライン解析

パスワード候補を試す攻撃は、実際のログイン画面へ送信する場合だけではありません。

大きく、オンライン攻撃とオフライン解析に分けられます。

オンライン攻撃

実際のログイン画面、認証API、VPN（Virtual Private Network）装置などへ候補を送信します。

特徴は次のとおりです。

• サービス側へログが残る
• レート制限を適用できる
• アカウントロック・待機時間を適用できる
• 多要素認証が追加障壁になる
• 送信元・端末・地域を分析できる

ブルートフォース、辞書、リバースブルートフォース、パスワードリスト攻撃は、主にオンラインのログイン試行として説明されます。

オフライン解析

攻撃者が漏えいしたパスワードハッシュなどを入手し、自分の環境で候補を計算・照合します。

特徴は次のとおりです。

• サービス側のログイン試行制限が働かない
• 攻撃者の環境で高速に多数候補を試せる
• パスワードの長さ・推測耐性が重要になる
• サービス側の保存方式が安全性を大きく左右する

パスワードハッシュ、ソルト、パスワード保存方式の詳しい仕組みは「ハッシュ関数とメッセージ認証」で扱います。

7．対策の要点

攻撃名を見分けた後は、攻撃の特徴に合う対策を選びます。

利用者側

• サービスごとに異なる、長く推測されにくいパスワードを使う
• パスワードマネージャを利用する
• 多要素認証を有効にする
• 対応サービスではパスキーなどのフィッシング耐性をもつ認証を利用する
• 漏えいが判明した場合は、同一・類似パスワードを使っている他サービスも確認する

サービス提供側

アカウント管理やパスワードポリシーの詳細は「アクセス制御と権限管理」、ハッシュとソルトは「ハッシュ関数とメッセージ認証」、多要素認証は「利用者認証の3要素と生体認証」、FIDO・パスキーは「パスワードレス時代の本人確認」で扱います。

8．別系統の攻撃と混同しない

これらは、いずれもパスワード候補を次々に試す攻撃とは限りません。

問題文で「何を送信・再利用・奪取・探索しているか」を確認します。

よくある取り違え

科目Bでの判断手順

1. 利用者IDとパスワードのどちらを変えているか確認する

ID固定ならブルートフォース系、パスワード固定ならリバースを疑います。

1. 候補の入手元を確認する

辞書語か、機械生成か、漏えいした実在の組合せかを見ます。

1. 失敗記録が一つのIDへ集中しているか確認する

集中していれば通常のブルートフォース、広く分散していればリバース・スプレーを疑います。

1. 別サービスから漏えいした情報か確認する

その組合せを別サービスへ試していればパスワードリスト攻撃です。

1. オンラインのログイン試行か、漏えいハッシュの解析か確認する

オフライン解析ではアカウントロックやレート制限が働きません。

1. 対策が一つのアカウントだけを見ていないか確認する

送信元、端末、多数アカウントの横断監視が必要です。

1. 利用者と提供者の対策を分ける

利用者は使い回しを避け、提供者はレート制限・監視・安全な保存を行います。

まとめ

• ブルートフォース攻撃は、主に一つのIDへ多数のパスワード候補を機械的に試す
• 辞書攻撃は、辞書語、名前、よく使われる文字列などへ候補を絞る
• リバースブルートフォース攻撃は、少数のパスワードを多数IDへ試す
• パスワードスプレーは、少数のよく使われるパスワードを多数アカウントへ低頻度で試す手口
• パスワードリスト攻撃は、漏えいしたID・パスワードの組合せを別サービスへ試す
• パスワードリスト攻撃の主な弱点は、認証情報の使い回し
• 長く複雑なパスワードでも、使い回して漏えいすればリスト攻撃へ悪用される
• オンライン攻撃ではレート制限・ログ監視・多要素認証が有効
• オフライン解析ではログイン試行制限が働かず、長さと安全なハッシュ保存が重要
• 単純なアカウントロックだけでは、リバース攻撃や利用妨害へ十分に対応できない
• 利用者はサービスごとに異なるパスワードを使い、パスワードマネージャ、多要素認証、パスキーを利用する
• サービス提供側は、ブロックリスト、レート制限、横断監視、安全な保存、異常通知を組み合わせる
• 不要な定期変更だけに依存せず、漏えい・侵害が疑われる場合に速やかに変更する
• 試験では、固定するもの、変えるもの、候補の入手元を確認する

関連記事

• C1-T07：ソーシャルエンジニアリングとフィッシング
• C1-T09：ネットワーク・通信への攻撃
• C2-T03：ハッシュ関数とメッセージ認証
• C2-T06：利用者認証の3要素と生体認証
• C2-T07：認証方式の仕組み
• C2-T08：パスワードレス時代の本人確認
• C5-T06：アクセス制御と権限管理
• C5-T09：ログ管理と監視

参考資料・基準日

本記事は、2026年8月3日時点のSGシラバスVer.4.1を基準に作成しています。

• IPA「情報セキュリティマネジメント試験（レベル2）シラバス Ver.4.1」
• IPA「インターネットサービスへの不正ログインによる被害が増加中―パスキー認証や多要素認証の設定を行いましょう―」
• NIST SP 800-63B-4「Digital Identity Guidelines: Authentication and Authenticator Management」
• Microsoft Learn「パスワードスプレー調査」

関連する問題

• 情報セキュリティマネジメント 情報セキュリティの基礎・脅威・攻撃 択一式（応用） 第16問〜第20問
• 情報セキュリティマネジメント 情報セキュリティの基礎・脅威・攻撃 一問一答 第31問〜第35問

---