リバースブルートフォース攻撃とは？仕組みや被害事例、防止策を解説

リバースブルートフォース攻撃とは、一つのパスワードに対してさまざまなIDの組み合わせを試すことで不正ログインを試みるサイバー攻撃のことです。連続して認証に失敗した場合、一時的にログインできなくするアカウントロック機能が働かず、危険性の高い攻撃とされています。

本記事では、リバースブルートフォース攻撃の概要や被害事例、防止策について詳しく解説します。リバースブルートフォース攻撃について知りたい方、被害を防ぎたい方は、ぜひ参考にしてください。

リバースブルートフォース攻撃とは

リバースブルートフォース攻撃とは、ターゲットが設定しそうなパスワードを予測・固定してさまざまなIDを試すことで、不正ログインを試みる総当たり攻撃のことです。ブルートフォース攻撃の場合、一つのIDに対して複数のパスワードを試し不正ログインを試みますが、リバースブルートフォース攻撃は一つのパスワードに複数のIDを試すことから、逆総当たり攻撃などとも呼ばれます。初期設定からパスワードを変更していない場合や簡単なパスワードを設定している場合、リバースブルートフォース攻撃で簡単に不正アクセスされてしまうため、注意が必要です。

ここからは、リバースブルートフォース攻撃に関する以下の事項について解説します。

• 危険な理由
• ブルートフォース攻撃との相違点
• パスワードスプレーとの相違点

リバースブルートフォース攻撃が危険な理由

リバースブルートフォース攻撃は危険性が高いサイバー攻撃といわれており、その理由はアカウントロック機能で攻撃に対処できないからです。アカウントロックとは、システムやサービスのログイン時、本人確認に連続して失敗すると一時的にログインできなくする機能のことです。ユーザーが入力パスワードなどの本人確認をあらかじめ決められた回数連続して間違えると、アカウントがロックされます。リバースブルートフォース攻撃は、アカウントロック機能が作動せず防げません。

また、ダークウェブなどでIDの一覧が取引されているケースもあり、攻撃が容易になっています。さらに、メールアドレスが使われていたり、ある規則を基に作成されたものだったりした場合、IDを推測されやすい傾向があります。

ブルートフォース攻撃との相違点

リバースブルートフォース攻撃とブルートフォース攻撃の違いは、固定する対象です。リバースブルートフォース攻撃の場合パスワードを固定して複数のIDを試すのに対して、ブルートフォース攻撃はIDを固定して考えられる全パターンのパスワード入力により不正アクセスを試みます。

ブルートフォース攻撃自体は古くからあるサイバー攻撃の一つですが、コンピューターの性能向上により複数のパスワードを試す時間が短縮されています。例えば、4桁でかつ数字で構成されたパスワードの場合「0000」～「9999」までの1万通り全てを試しても、現在のコンピューターであれば数秒で完結可能です。ただし、ブルートフォース攻撃の場合アカウントロックで対処できる可能性が高い一方、リバースブルートフォース攻撃はアカウントロックが機能しません。ブルートフォース攻撃に比べ、リバースブルートフォース攻撃の方が成功率が高くリスクのあるサイバー攻撃です。

なお、ブルートフォース攻撃の詳細を知りたい方は以下をご覧ください。
⇒ブルートフォース攻撃とは？被害例や対策をわかりやすく解説

パスワードスプレーとの相違点

パスワードスプレー攻撃とは、同じパスワードを複数のユーザーアカウントのログインで同時に試すサイバー攻撃のことです。ブルートフォース攻撃の一種で、攻撃を検知されにくくするとともにアカウントロックを回避する目的で、IPアドレスを変えたり攻撃実行の時間をずらしたりしながらゆっくり攻撃を行うため、low-and-slow攻撃とも呼ばれます。

リバースブルートフォース攻撃は、複数のアカウントへのログインを同時に試みるわけではありません。パスワードを固定して複数種類のIDを試すことで、アカウントロックを避ける仕組みが取られています。

リバースブルートフォース攻撃の仕組みや流れ

リバースブルートフォース攻撃は、入手可能か「1234」や「admin」などパスワードが単純だと考えられるアカウントを狙い攻撃を仕掛けます。具体的な攻撃の流れは以下の通りです。

1. 自分で推測するか、ダークウェブなどで購入してパスワードを用意する
2. 用意したものの中から、利用するパスワードを決定する
3. パスワードを固定して、さまざまなIDを試し不正アクセスを試みる

さまざまなIDの入力を人間が行えば時間がかかるため、攻撃者はツールを用いて攻撃を仕掛けます。

リバースブルートフォース攻撃の被害内容

リバースブルートフォース攻撃による主な被害内容は、以下の通りです。

• 情報漏洩
• クレジットカードの不正利用や送金
• システム・アカウント乗っ取り
• Webサイトやデータの改ざん・削除

ここからは、上記それぞれの被害内容について解説します。

情報漏洩

リバースブルートフォース攻撃で不正アクセスされると、システムやクラウドサービスに保存してある個人情報・機密データを盗まれます。近年は、個人情報保護に関する関心が高まっており、情報が流出すれば企業の信用やブランドイメージが低下するでしょう。最悪の場合、事業の継続が困難になる恐れもあります。また、法律で罰せられたり、情報漏洩した個人に対する賠償金の支払いが発生したりするリスクも存在します。

なお、個人情報保護法の罰則や情報漏洩した場合の賠償金支払い事例は以下をご覧ください。
⇒個人情報保護法の罰則とは？概要や罰則以外のリスク、違反を防止するための対策を解説
⇒情報漏洩による損害賠償とは？事例5選や企業に与える影響、対策まで徹底解説

クレジットカードの不正利用や送金

ECサイト・オンラインバンキングなどにアクセスされ、クレジットカードの不正利用や送金が行われた結果、金銭的な被害を受ける場合もあります。最近は、テクノロジーの発展によりキャッシュレス決済やオンラインバンキングが数多く存在して便利です。一方で、サイバー攻撃の対象となっており、クレジットカードの不正利用は、リバースブルートフォース攻撃で多く発生する被害の一つとなっています。不正アクセスに気付くまでに時間がかかり多くのお金を失う恐れもあるでしょう。

システム・アカウント乗っ取り

システムやアカウントの乗っ取りも、リバースブルートフォース攻撃による被害です。万が一、システムやアカウントが乗っ取られれば、それがサイバー攻撃に利用される恐れがあります。例えば、メールアカウントが乗っ取られ、企業間取引などを装ったメールを送り不正な送金を促すサイバー攻撃であるビジネスメール詐欺に活用される可能性が存在します。また、マルウェアを拡散させる目的でWebサイトを活用されるケースもあるでしょう。

なお、ビジネスメール詐欺の詳細は以下をご覧ください。
⇒ビジネスメール詐欺（BEC）とは？被害事例や詐欺に遭った際の対処法と防止策を解説

Webサイトやデータの改ざん・削除

Webサイトやデータの改ざん・削除が行われるケースもあります。自社のコーポレートサイトが不適切なものや悪意ある内容に書き換えられれば、企業イメージが低下するでしょう。また、データの改ざん・削除によりサービス提供や業務の継続がストップするリスクもあります。

リバースブルートフォース攻撃の被害事例

リバースブルートフォース攻撃により、多くの企業や組織が被害を受けています。ここからは、以下の被害事例について詳しく解説します。

• ドコモ口座
• JALマイレージバンク
• 宅ふぁいる便
• SBI証券

ドコモ口座

NTTドコモが展開する電子決済サービス「ドコモ口座」を利用して、地方銀行から不正に現金が引き出される被害が発生しました。明確な手口は明らかになっていませんが、リバースブルートフォース攻撃による被害と予想されています。
参照：ドコモ口座による預金引き出しにはリバースブルートフォースが使われたのか｜Yahoo!ニュース

JALマイレージバンク

日本航空は、2014年2月3日にJALマイレージバンクへの不正アクセスがあったことを発表しています。同社の発表によれば、会員になりすました第三者がマイルを特典に交換するトラブルが多数発生していました。この事件により、日本航空は全会員に対してパスワード変更の依頼を行っています。
参照：JALマイレージWebサイトに不正アクセス、約2700万人にパスワード変更を依頼｜日経クロステック

宅ふぁいる便

2019年にはオージス総研が提供していた宅ふぁいる便で、481万5,399件の情報漏洩が発生しました。問題発生から一時はサービスを停止していましたが、最終的には復旧に必要な時間とコストなどを考慮して、2020年にサービス提供を終了しました。
参照：「宅ふぁいる便」サービスにおける不正アクセスについて　～お客さま情報の漏洩について（お詫びとご報告）～｜株式会社オージス総研

SBI証券

SBI証券は、2020年に顧客の6口座から約9,864万円が流出したと発表しました。調査を行ったところ、社内システムへの侵入形跡はなかったとSBI証券は発表しており、リバースブルートフォース攻撃ではないかと予測されています。
参照：SBI証券、顧客資金9864万円が流出　偽口座に送金｜日本経済新聞

リバースブルートフォース攻撃の防止策

リバースブルートフォース攻撃の主な防止策は、以下の通りです。

• 複雑なパスワードの設定
• 多要素認証の導入
• セキュリティ強度向上策の導入
• アクセスログのチェック
• アカウントや権限の適切な管理
• パスワードレス認証の導入

最後に、上記それぞれの防止策について解説します。

複雑なパスワードの設定

リバースブルートフォース攻撃を防ぐには、大文字・小文字・数字・記号を組み合わせた16文字以上の複雑なパスワード設定が重要です。
予測されやすいパスワードを利用すれば、リバースブルートフォース攻撃をはじめ、さまざまなサイバー攻撃を受ける可能性があるでしょう。パスワードは使い回しを避け、定期的に変更するとセキュリティ強度が向上します。

多要素認証の導入

多要素認証の導入も、リバースブルートフォース攻撃の防止に有効です。多要素認証とは知識認証や所有物認証、生体認証など性質の異なる複数の要素を利用して認証を行う方式のことです。ID・パスワードを活用した認証を突破されても、他の認証をクリアする必要があり被害に遭うリスクを抑えられます。

多要素認証の詳細は以下をご覧ください。
⇒MFA（多要素認証）とは？仕組みやメリット・デメリット、導入方法を解説

セキュリティ強度向上策の導入

セキュリティ強度向上策の導入により、リバースブルートフォース攻撃を防止できる可能性が高まります。

具体的には、歪んだ文字列の画像を基にした入力や特定のオブジェクトを選択するCAPTCHA（キャプチャ）が該当します。CAPTCHAとは、Webサイトの入力フォームなどで人間による操作・入力を確かめるテストのことです。人間なら簡単にできる一方で、ツールやロボットには難しい課題を与えることにより、不正ログインを防止します。また、ログインを意図的に遅くするログイン遅延も有効です。多少の遅延により、短時間での大量のログイン試行を難しくできます。

アクセスログのチェック

アクセスログのチェックは、不審な動きの早期発見に役立ちます。継続的にアクセス状況を監視・確認すれば、万が一不正ログインをされてもすぐ気付き、対策を打てるでしょう。身に覚えのないログを確認した際は、該当IPアドレスのブロックやパスワード変更で、被害を未然に防げます。

アカウントや権限の適切な管理

アカウントや権限の適切な管理により、被害範囲を狭められるでしょう。万が一、高度な権限を持つアカウントの乗っ取りや不正ログインをされれば、アクセスできる情報などが多くなり、被害が拡大します。不要なアカウントは削除や解約を行うとともに、必要最低限の権限付与を徹底して、定期的に状況を見直すと良いでしょう。

パスワードレス認証の導入

パスワードレス認証の導入も、リバースブルートフォース攻撃の防止に効果的です。パスワードレス認証とは、パスワードを使わずに生体認証やマジックリンク、パスキーなどを用いて認証を行う方法のことです。リバースブルートフォース攻撃だけでなく、パスワードに関連したサイバー攻撃対策として有効です。

まとめ

リバースブルートフォース攻撃とは、ターゲットが設定しそうなパスワードを予測・固定して、さまざまなIDを試すことで不正ログインを試みる総当たり攻撃です。本人確認に連続して失敗すると一時的にログインできなくなるアカウントロック機能では対処できず、危険性の高いサイバー攻撃であるとされています。

攻撃を受ければ、情報漏洩やシステム・アカウントの乗っ取りなどの被害に遭うリスクがあるでしょう。リバースブルートフォース攻撃を未然に防ぐには、複雑なパスワードの設定や多要素認証の導入、アクセスログのチェックなどが重要です。

ただ、近年のサイバー攻撃は高度化・巧妙化しており、完全に防ぎきることは困難です。万が一、情報漏洩が発生すれば、企業の信用性やブランドイメージが低下してしまうでしょう。漏洩を早く察知し、適切な対応を取れる体制の整備が重要です。情報漏洩監視ツール「ダークウェブアイ」は、会社のドメイン情報を入れるだけで「いつ」「どこから」「どんな情報が」漏れてしまったのか、一瞬で分かります。

自社情報が漏洩していないか不安な方は、まずは自社の漏洩状況を確認してみてはいかがでしょうか？
⇒メールアドレスを入れるだけ！自社の漏洩状況をチェック！