ブルートフォース攻撃（ブルートフォースアタック）とは？
手法や被害事例・対策などを解説

ブルートフォース攻撃（ブルートフォースアタック）とは、Webサイトやシステムなどに使用されるパスワードのパターンをすべて試し、不正アクセスを試みるサイバー攻撃の一種です。「総当たり攻撃」とも呼ばれ、古くから用いられている攻撃手法です。
攻撃者が不正に入手したIDと想定される文字列をログイン画面に入力し続けることで、パスワードを解読し、不正ログインを行います。時間をかけさえすれば確実に解読できてしまうため、現在でも多くのサイバー攻撃に使用されています。

近年はコンピュータの処理能力が向上したため、パスワードの解読時間が大幅に短縮されているとの報告もあります。
例えば、単純な英小文字6桁のパスワードの組み合わせは約3億通りになりますが、解析ソフトを使用すれば1秒未満で、8桁でも数十秒程度で解読できてしまうとされています。

ブルートフォース攻撃は単純な総当たりで行う以外にもいくつかの手法があります。
以下に主な種類を紹介します。

●リバースブルートフォース攻撃

通常のブルートフォース攻撃とは逆に、特定のパスワードに対し、IDを総当たりで攻撃します。IDに対する攻撃のため、不正アクセスの対策として用いられるアカウントロック（※1）の効果が得られず、被害が大きくなる可能性があります。

●辞書攻撃

「12345」や「password」といった安易な数字や一般的な英単語、人名、またはそれらを組み合わせた文字列をリスト（辞書）化し、ログインに用いる手法です。初期設定のパスワードや誕生日などもリストに含まれるので注意が必要です。

●パスワードリスト攻撃

過去に解読された、もしくは漏洩したパスワードを元に作られたリストを使用し、複数のサイトに攻撃を行います。複数のサービスでIDとパスワードを使い回している人が多いため、単純なブルートフォース攻撃よりも成功率が高いという特徴があります。

ブルートフォース攻撃によりパスワードが解読されてしまうと、悪意のある攻撃者によって、さまざまな被害を受けることが予想されます。

●機密情報や個人情報の漏洩

ブルートフォース攻撃による不正アクセスの多くは、情報の窃取を目的としており、自社の重要情報や顧客の個人情報などが漏洩してしまいます。

●Webサイトやデータの改ざん

アカウントに不正アクセスされてしまうと、システムを乗っ取られ、サイトやデータを改ざんされたり、マルウェアなどの中継や踏み台に悪用される場合があります。

●金銭的な被害

入出金に関わるシステムに不正アクセスされたことで、不正な出金や送金などの金銭的な被害が発生することもあります。

ブルートフォース攻撃による実際の被害事例を3つ紹介します。いずれも情報漏洩や金銭的な損失など、大きな被害が出ています。

●大手コンビニチェーンの決済サービスで不正利用

2019年7月、大手コンビニチェーンの決済サービス利用者からの問い合わせにより不正利用が発覚。調査結果から1,500人以上のIDが乗っ取られ、会員なりすましによる被害は約4,000万円にも及びました。同社は、二段階承認などの対策を講じておらず、1か月でサービスを廃止。直接の原因はパスワードリスト攻撃による不正ログインによるものとの見解を出しています。

●大手証券会社の顧客口座から約1億円が不正流出

2020年9月、大手証券会社が第三者の不正アクセスにより、顧客の証券口座から9,864万円が流出したと発表しました。不正に入手した顧客のアカウント情報で口座にログインし、出金先の銀行口座を変更して偽の口座に出金していました。同社は事件の発覚後、出金停止やパスワードリセットなどの措置を行うとともに、再発防止策としてより強固なセキュリティ対策を実施するとしています。

●人材サービス会社で25万人の個人情報漏洩

2023年3月、大手人材サービス会社が運営するサイトに不正アクセスを受け、25万人を超える履歴書情報が漏洩しました。外部から不正に入手したIDとパスワードによる不正ログインが行われた可能性があり、同社では全ユーザーのパスワードをリセットし、不正ログインの送信元からの通信を遮断するなどの対策を実施。その後、IDやパスワード以外の認証方法でセキュリティ強化を図っています。

ブルートフォース攻撃を防ぐための対策は企業やシステム管理者はもとより、従業員やユーザーもセキュリティに対する意識を持つことが重要です。まずは安易なパスワードを設定しない、同じパスワードを使い回さないことを徹底しましょう。

●パスワードの強化

パスワードの桁数を増やし、大文字と小文字、数字や記号などを組み合わせることで、解読するまでの時間を長期化できます。また、他人から類推されやすい意味のある文字列を使用しないことも有効な対策となります。

●ログイン回数の制限

一定の回数を超えてログインに失敗した際には、アカウントをロックし、一時的に利用を制限することでブルートフォース攻撃を防ぐことができます。

●多要素認証の設定

IDとパスワード以外の認証方法による二段階認証の導入も効果的な対策です。メールやアプリによるワンタイムパスワードやクレジットカードなどのセキュリティコード、指紋認証など、さまざまな方式が採用されています。

●セキュリティツールの導入

ブルートフォース攻撃によってパスワードを解読された場合でも、セキュリティツールによって侵入を防ぐことが可能です。サイバー攻撃が年々増加している昨今、ブルートフォース攻撃に限らず、さまざまな脅威から自社を守る対策ツールを導入しましょう。

オールインワンで脅威に対応できる「UTM」

サイバー攻撃を防ぐためのツールは多くありますが、特におすすめしたいのがUTMです。
サクサUTM「SS7000Ⅱ」はファイアウォールやアンチウイルス、IPS/IDSなどのセキュリティ機能が1台に集約されており、外部ネットワークと接続しているモデムに設置することによって、UTMとつながっているすべての機器が保護の対象となります。
また、外部からの脅威だけでなく、内部機器からの不正アクセス、Webフィルタリング、ウイルス拡散、メール誤送信、情報漏洩などのリスクにも備えることができます。複数のツールを導入する必要がないため、コストを抑えることも可能です。
さらに複雑な設定が不要で、導入後のサポート体制も充実しているため、セキュリティ対策に手間がかけられない、専門知識のある人材がいないなどの場合でも安心です。

今回は、ブルートフォース攻撃について、手口や対策方法などを解説しました。サイバー攻撃の手法として用いられるブルートフォース攻撃は、不正アクセスによって情報漏洩や金銭的な被害をもたらしますが、対策を取ることでリスクは大幅に軽減できます。まずはIDやパスワードを使い回さず、推測されにくい強固なパスワードを個別に設定することから始めましょう。
また、攻撃を防ぐだけでなく、万が一不正アクセスを受けたとしても、事後対策のできるセキュリティツールを導入しておくことで、被害の拡大を最小限に食い止めることができます。さまざまなセキュリティ機能を備えたサクサUTM「SS7000Ⅱ」をぜひご検討ください。

サクサでは、不正アクセスの監視や検知といった攻撃を遮断するファイアウォール機能など、さまざまなセキュリティ機能が充実しているUTMをはじめ、中堅・中小企業の課題を解決するツールを多数ご用意しています。お気軽にお問い合わせください。

また、UTMの基本機能から導入メリット・選定ポイントなどを詳しく解説したお役立ち資料や、サクサの最新モデルUTM「SS7000Ⅱ」の詳細が5分でわかる資料などもご提供していますので、ぜひご活用ください。

UTMの基本機能から導入メリット・選定ポイントなどを、詳しく解説したお役立ち資料もご提供していますので、ぜひご活用ください。