リバースブルートフォース攻撃とは？りばーすぶるーとふぉーすこうげき
リバースブルートフォース攻撃とは、利用者IDのほうを次々に変えながら、パスワードは広く使われている1つに固定して試す攻撃。パスワードスプレー攻撃とも呼ばれる。1つのアカウントに対する失敗回数が増えないため、一定回数で締めるアカウントロックをすり抜けてしまう点が繰り返し問われる。
最終更新：2026-10-06
情報処理安全確保支援士を最短で暗記・合格する →背景
総当たりへの対策としてロックアウトが広まると、攻撃側は固定する側を入れ替えてきた。利用者IDはメールアドレスや社員番号の連番など推測しやすい規則で作られていることが多く、逆にパスワードは「Password」に数字を足した形などに偏る。この偏りの差を突くのがこの攻撃で、認証の防御をどこに置くかを考えさせる題材として出題される。
具体例
Microsoft Entra ID のサインインログでは、同一の送信元から多数の異なるユーザープリンシパル名へ1回ずつ失敗が並ぶ形として現れる。禁止パスワードリストによる弱いパスワードの拒否と、送信元単位の試行回数の監視を組み合わせて塞ぐ。
試験での引っ掛け
通常のブルートフォース攻撃と固定する側が逆である点が要点で、アカウントロックは有効な対策にならない。流出したIDとパスワードの組をそのまま使うパスワードリスト攻撃（クレデンシャルスタッフィング）とも別物で、こちらは組を持たずパスワード側の当たりを引きにいく。
関連用語
出典・参考
公式シラバスの3 技術要素 ＞ 1. 情報セキュリティ ＞ (7) 攻撃手法に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。