ブルートフォース攻撃とは？被害例や対策をわかりやすく解説

ブルートフォース攻撃とは、Webサービスに不正ログインするために、考えられるパスワードのパターンを全て試みる攻撃です。攻撃を受けると、アカウントの乗っ取りや情報漏えいなどの被害に遭ってしまいます。
ブルートフォース攻撃を防ぐには、ユーザー側ではパスワードの強化、開発側ではセキュリティ強化設定を行うと良いでしょう。

今回は、ブルートフォース攻撃についての解説や実際の事例を紹介し、すぐに行えるユーザー側・開発側の対策方法をわかりやすく解説します。

ブルートフォース攻撃（ブルートフォースアタック）とは

ブルートフォース攻撃（ブルートフォースアタック）とは、Webサービスにログインする際の認証で使うパスワードを、考えられる全てのパターンで試し、不正アクセスをする攻撃方法です。1つのIDに対して、パスワードを変更しながら何度もログインを試みます。パスワードを総当たりで試すため、「総当たり攻撃」とも呼ばれることもあり、古くからある攻撃手法です。

例えば、4桁の数字のパスワードの場合、「0000」～「9999」までの1万通り全てのパターンでログインを試みるなどです。
人の手で1つずつパスワードを入力して全て試すには、かなりの時間がかかります。しかし、近年はコンピューターの機能向上により自動化し、1万通り程度は数秒で全て試すことが可能になりました。

ブルートフォース攻撃は、ログイン自体が正規のアカウントと見分けがつかないため、不正利用されたことがわかりにくいのが特徴です。また、短時間にログインを何万回も試すことでWebサイトのサーバーに負荷をかけ、サーバーダウンを狙う場合もあります。

ブルートフォース攻撃に似た手口

ブルートフォース攻撃に似た攻撃手法は他にも複数あり、以下が代表的なものです。

• 辞書攻撃
• パスワードリスト攻撃
• ハイブリットブルートフォース攻撃
• リバースブルートフォース攻撃

それぞれ詳しく解説します。

辞書攻撃

辞書攻撃とは、あらかじめリストアップして辞書化したパスワード集を用いて行う攻撃手法です。
ユーザーが使いそうなパスワードを使ってログインを試みます。例えば、「1234」や「password」などよく使われている文字列や、誕生日や初期設定値を使ってログインを試していきます。

パスワードリスト攻撃

パスワードリスト攻撃とは、過去に漏洩したパスワードのリストをもとにログインを試みる攻撃手法です。
複数のWebサービスで、同じIDとパスワードを使いまわしている人は多いため、通常のブルートフォース攻撃より成功率が高いといわれています。

ハイブリットブルートフォース攻撃

ハイブリットブルートフォース攻撃とは、単純な総当たり攻撃と辞書攻撃を組み合わせて行う攻撃手法です。
パスワードの末尾には数字や記号を使うことが多いため、総当たり攻撃と辞書攻撃のそれぞれの要素を組み合わせてパスワードを生成し、認証の突破を試みます。

リバースブルートフォース攻撃

リバースブルートフォース攻撃とは、パスワードを固定してIDを総当たりする攻撃で、通常のブルートフォース攻撃とは逆の攻撃手法です。
「ログイン試行回数3回まで」など、アカウントロック機能を搭載しているWebサービスがあります。しかし、IDを入れ替えることで別ユーザーと判断され、ロックがかからないようにすることができるため、成功してしまう可能性が高くなります。
攻撃者はダークウェブなどから不正に入手したパスワードリストを使うことが多いです。

ダークウェブ上への情報漏洩が心配な場合は、ダークウェブ監視ツール「ダークウェブアイ」でチェックが可能です。
無料でメールアドレスの流出チェックができるため、ぜひお試しください。

ブルートフォース攻撃で起こる被害

ブルートフォース攻撃を受けると、以下の被害が想定されます。

• アカウントの乗っ取り
• Webサイトやデータの改ざん
• クレジットカード不正利用など金銭的な被害
• 個人や組織の情報漏えい

それぞれ詳しく説明します。

アカウントの乗っ取り

ブルートフォース攻撃により不正ログインされてしまうと、Webサービスのアカウントを乗っ取られる可能性があります。
例えば、以下のような乗っ取りと被害に遭うことがあるでしょう。

• 個人利用の通販サイトのアカウントが乗っ取られ、不正購入される
• 会社で運営しているSNSアカウントが乗っ取られ、不適切な投稿がされ、炎上したり企業ブランドを傷つけられる
• 不正ログインによりパスワードが変更され本人がログインできない

Webサイトやデータの改ざん

Webサービスの管理アカウントが不正ログインされて乗っ取られると、Webサイトやサービスのデータ改ざんが行われる危険性があります。
例えば、フィッシング詐欺につながる悪意のあるリンクを設置するなどです。

クレジットカード不正利用など金銭的な被害

不正ログインによりクレジットカードや口座を不正利用される可能性があり、金銭的な被害に遭うケースもあります。
例えば、ネット銀行の口座に不正ログインし、赤の他人の口座に不正送金するなどです。

個人や組織の情報漏えい

不正ログインされた結果、個人や組織の情報漏洩が発生する可能性があります。
攻撃を受け、他人がWebサービスに不正ログインすることで、Webサービス内に登録している氏名や住所、電話番号などの個人情報が流出し、悪用される可能性があります。また、企業のシステムに不正ログインした場合は、機密情報などが漏洩し、損失が出る場合もあるでしょう。

ブルートフォース攻撃などでの実際の被害事例

ブルートフォース攻撃によって被害を受けた、実際の事例を以下2件紹介します。

• 大手コンビニ決済サービスの不正利用でサービス廃止へ
• 大手ネット証券会社の不正アクセス被害

大手コンビニ決済サービスの不正利用でサービス廃止へ

大手コンビニチェーンのセブン＆アイホールディングスの決済サービス「セブンpay」が2019年7月のサービス開始直後に、不正利用が発覚した事例です。不正に入手したIDとパスワードのリストを使った攻撃と見られています。

この件では、800人以上のアカウントがなりすまし被害に遭い、合計4,000万円近くの被害になりました。多くのアカウントで不正利用が発覚したことで、「セブンpay」は、同年9月30日をもってサービス廃止になりました。
参照:「7pay（セブンペイ）」 サービス廃止のお知らせとこれまでの経緯、今後の対応に関する説明について

大手ネット証券会社の不正アクセス被害

大手ネット証券のSBI証券で、2020年9月に不正アクセスによる被害報告がされました。悪意のある第三者が、顧客のユーザーネームやパスワードなどを不正に入手し、偽の銀行口座へ出金していた事例です。被害総額は、合計9,864万円でした。

不正アクセスを受けてSBI証券は、24時間モニタリング体制などの監視や、ログイン時に二要素認証を導入するなどの対策強化を実施しました。
参照:悪意のある第三者による不正アクセスに関するお知らせ

ユーザーができるブルートフォース攻撃対策

ユーザー側でも、ブルートフォース攻撃の対策は可能です。以下が攻撃に効果がある3つの対策法です。

• パスワードを長く複雑にする
• パスワードを意味のある文言にしない
• 同じパスワードを使いまわさない

それぞれ説明します。

パスワードを長く複雑にする

パスワードは長く複雑にすると解析に時間がかかるため、効果的な予防策になります。パスワードが短いと簡単な文字列になってしまい、ブルートフォース攻撃を受けて突破される可能性が高いです。
パスワードは、数字だけでなく英字も含めた8桁以上で設定することをおすすめします。英字は大文字・小文字両方使うと、より強固なパスワードになるでしょう。

パスワードを意味のある文言にしない

パスワードを意味のある文言にしてしまうと辞書攻撃などがあった場合、認証を突破される確率が上がってしまいます。
サイバーセキュリティ会社のNord Securityが調査して公表した2023年のパスワード世界ランキングで、最も使用されているパスワードは、「123456」でした。そして「admin」が2位、「password」は7位にランクインしています。

単純かつ意味のある単語は、推測されやすいため気を付けましょう。

同じパスワードを使いまわさない

複数のパスワードを覚えるのが大変だという理由で、同じIDやパスワードを使いまわす人もいるでしょう。しかし、同じパスワードを複数のサービスで利用すると、一度情報が漏れてしまうと連鎖的に他のサービスに対しても不正ログインが可能になってしまいます。
同じパスワードを複数のサービスで使いまわさないよう、それぞれ別のパスワードを設定しましょう。

開発側の効果的なブルートフォース攻撃対策

開発側で行える有効なブルートフォース攻撃対策は以下です。

• ログイン回数を制限する
• IPアドレスのアクセス制限する
• 二要素認証を設定する

詳しく説明します。

ログイン回数を制限する

ブルートフォース攻撃は何回もログインを試みるため、ログイン試行回数を制限してアカウントロックをすれば、それ以上攻撃できなくなります。
例えば、3回ログインに失敗するとアカウントロックがかかり、一定時間利用できない設定などです。

IPアドレスのアクセス制限する

ブルートフォース攻撃は海外から行われることが多いため、海外のIPアドレスからの接続を制限すれば、被害を抑えられるでしょう。
また、企業内のシステムの場合、社内のIPアドレスのみをアクセス可能にし、社外IPアドレスのアクセスは制限することで、攻撃を防げます。

二要素認証を設定する

ログインする際は二要素認証を設定すると、セキュリティ強化になり効果的な対策になります。
ログイン時にはIDとパスワードに加えて、生体認証やワンタイムパスワードなど二要素認証で本人確認をする設定が良いでしょう。

セキュリティツールを強化する

サイバー攻撃を防ぐために、セキュリティツールを強化することも有効な手段になります。
不正アクセス検知システムを導入すれば、短時間に異常な回数のログインを試みているアカウントを検知し対応が可能です。

まとめ

ブルートフォース攻撃とは、Webサービスに考えられる全てのパスワードを入力して不正ログインを試みる攻撃です。総当たりで攻撃されるパターンと、不正入手したパスワードやよく使われるパスワードのリストをもとに攻撃されるパターンがあります。
攻撃されると、アカウントの乗っ取りや情報漏えい、金銭的被害に遭う可能性があります。

ユーザーは以下の対策で、攻撃を予防できるでしょう。

• パスワードを長く複雑にする
• パスワードを意味のある文言にしない
• 同じパスワードを使いまわさない

また、開発側では、以下がブルートフォース攻撃に対する有効な対策です。

• ログイン回数を制限する
• IPアドレスのアクセス制限する
• 二要素認証を設定する

今回紹介した対策を参考にして、パスワード設定の見直しやセキュリティツールの導入を検討してみてはいかがでしょうか。