パスワードクラック（辞書攻撃・総当たり攻撃）とは？ぱすわーどくらっく
パスワードクラック（辞書攻撃・総当たり攻撃）とは、パスワードを不正に割り出す攻撃の総称。辞書に載る語や流出済みの文字列を試すのが辞書攻撃、文字の組合せを機械的に尽くすのが総当たり攻撃（ブルートフォース攻撃）である。防ぐ側の判断は、試行を止める仕組みと、流出後に解かれにくくする保存方式のどちらへどれだけ投じるかにある。
最終更新：2026-10-06
システムアーキテクトを最短で暗記・合格する →背景
かつての対策は利用者に複雑さと定期変更を課す方向だったが、覚えられないため使い回しが増え、他所からの流出が自社の突破に直結するようになった。NIST SP 800-63Bが定期変更の強制をやめ、長さと流出リストとの照合を重視する方針へ転じたのはこのためである。攻撃の主戦場も1つのIDへの総当たりから流出済みの組合せを大量に試す形へ移り、対策も資格情報そのものの質を見る方向へ動いた。
具体例
Have I Been Pwnedが提供するPwned Passwords APIは、パスワードのハッシュの先頭5桁だけを送って一致候補を受け取る仕組みで、平文を渡さずに流出済みかどうかを判定できる。登録・変更の時点で弾けば、辞書攻撃が最初に試す帯をそのまま塞げる。
試験での引っ掛け
一定回数の失敗でロックする方式は、他人のIDをわざと失敗させて業務を止める攻撃にそのまま使える。1つのパスワードを多数のIDへ試すパスワードスプレーはアカウント単位のロックでは検知できず、送信元や時間帯の相関で見る必要がある。保存側のストレッチングは強度を上げるが、正規のログイン処理の負荷も同じだけ上がる。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。