総当たり攻撃とは？そうあたりこうげき
総当たり攻撃は、パスワードとして考えられる文字の組合せを、端から一つ残らず順番に試してログインを破ろうとする攻撃。英語でブルートフォース攻撃（brute force：力ずく）ともいう。時間さえかければいつかは必ず当たるため、対策は「試す組合せの数を増やして現実的な時間では終わらないようにする」か「何度も試させない」かの二つになる。ITパスポートでは、桁数や文字の種類を増やすと組合せが何倍になるかを計算させる問題と、他の攻撃手口との区別が問われる。
最終更新：2026-10-10
この語が出る過去問を解く →背景
IDとパスワードによるログインは、パスワードを知っている人を本人とみなす仕組みなので、パスワードを当てられれば誰でも本人になりすませる。人が手で試すなら限界があるが、コンピュータを使えば1秒間に大量の組合せを自動で試せる。そのため、短いパスワードや数字だけのパスワードは機械的に破られる危険が生まれ、桁数を長くすることや、失敗が続いたらログインを止める仕組みが対策として求められるようになった。
具体例
数字0〜9の10種類で作る4桁の暗証番号は10×10×10×10＝1万通りしかない。これを6桁にすると100万通りになり、組合せは100倍に増える（試験でもこの計算が出た）。iPhoneはパスコードを続けて間違えると、次に入力できるまでの待ち時間がだんだん延びる。銀行のキャッシュカードも暗証番号を何回か続けて間違えると使えなくなる。どちらも「何度も試させない」ことで総当たりを防ぐ仕組みである。
試験での引っ掛け
手口の違いで区別させる問題が多い。総当たり攻撃は全部の組合せを試す。辞書攻撃は辞書の単語や「password」のようなよく使われる語に絞って試す。パスワードリスト攻撃は、別のサイトから漏れたIDとパスワードの組をそのまま試す（使い回しを狙う）。ソーシャルエンジニアリングは人をだまして聞き出す手口で、機械的に試すものではない。また、パスワードを長く複雑にする対策は総当たり攻撃には効くが、本人が偽サイトに自分で入力してしまうフィッシングには効かない。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成24年度 春期 ITパスポート試験 問66（IPA）解説で登場
出典：平成26年度 春期 ITパスポート試験 問51（IPA）
パスワードの解読方法の一つとして、全ての文字の組合せを試みる総当たり攻撃がある。“0”から“9”の10種類の文字を使用できるパスワードにおいて、桁数を4桁から6…
正解：100
要点：10種類2桁増で試行回数は100倍（10のn乗）
使える文字が10種類なので、桁数nのパスワードの総数は10のn乗になる。4桁なら1万通り、6桁なら100万通りであり、最大試行回数は100万÷1万で100倍になる。桁数を2桁増やすと、文字種の2乗すなわち10×10倍に膨らむということである。
出典：平成28年度 秋期 ITパスポート試験 問83（IPA）
情報システムに対する攻撃のうち，あるIDに対して所定の回数を超えてパスワードの入力を間違えたとき，当該IDの使用を停止させることが有効な防衛手段となるものはどれ…
正解：総当たり攻撃
要点：総当たり攻撃にはアカウントロックが有効
総当たり攻撃は、考えられるパスワードを次々に試して正解を探す手口なので、誤入力が一定回数続いたらアカウントを停止する仕組みが有効に働く。DoS攻撃やSQLインジェクション、フィッシングは、いずれもパスワードの試行回数制限とは対策の性質が異なる。
出典：平成29年度 春期 ITパスポート試験 問80（IPA）解説で登場
情報セキュリティを脅かすもののうち，ソフトウェアの脆弱性を修正するパッチを適用することが最も有効な対策となるものはどれか。
正解：バッファオーバフロー
要点：バッファオーバフローはプログラムの欠陥。修正パッチが有効
バッファオーバフローは、プログラムが確保した領域を超えるデータを書き込んでしまう実装上の不具合を突く攻撃で、原因はソフトウェアそのものの欠陥にある。したがって修正パッチの適用が最も直接的で有効な対策になる。総当たり攻撃はパスワード強度や試行回数制限、ソーシャルエンジニアリングは教育と運用ルール、ポートスキャンはファイアウォールなど、対策の性質が異なる。
出典：平成29年度 春期 ITパスポート試験 問81（IPA）解説で登場
Webサーバの認証において，同じ利用者IDに対してパスワードの誤りがあらかじめ定められた回数連続して発生した場合に，その利用者IDを自動的に一定期間利用停止にす…
正解：ブルートフォース攻撃
要点：アカウントロックは総当たり攻撃に有効な試行回数制限
ブルートフォース攻撃（総当たり攻撃）は、考えられる文字の組合せを次々に試してパスワードを突き止める手法で、同一IDに対する誤り試行が大量に発生する。一定回数の連続失敗でIDを一時停止するアカウントロックは、この試行回数そのものを制限するため直接的に有効である。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。