リバースブルートフォース攻撃とは？りばーすぶるーとふぉーすこうげき
リバースブルートフォース攻撃とは、よく使われるパスワードを1つ決め打ちし、それを固定したまま利用者IDのほうを次々に変えて試す攻撃。1つのIDあたりの失敗回数が増えないため、アカウントロックにも本人への失敗通知にも引っかからない。管理者としては「ロックを設定してあるから安全です」という説明が通らない攻撃だと理解しておく必要がある。
最終更新：2026-10-06
この語が出る過去問を解く →背景
パスワードを総当たりする攻撃への定番の備えとして、失敗が続いたらアカウントを止めるロックが広く導入された。攻撃側はこれを避けるため、狙いを「特定の1人のパスワードを破る」から「安易なパスワードを使っている人を1人見つける」へ切り替えた。利用者IDが社員番号やメールアドレスのように規則的な組織ほど成立しやすい。試験では、対策の向きが攻撃の向きと合っているかを問う形で出る。
具体例
Microsoft Entra ID（旧Azure Active Directory）やGoogle Workspaceの管理機能では、ログイン失敗を利用者ごとだけでなく送信元IPアドレスごとにも数えて遮断でき、推測されやすい文字列を禁止する辞書も設定できる。管理者はこの設定値と多要素認証の適用範囲を、規程の「認証方式」の要求事項として明記しておく。
試験での引っ掛け
通常のブルートフォース攻撃とは、固定する側と変える側が逆である。アカウントロックは有効な対策にならず、多要素認証、推測されやすいパスワードの利用禁止、同一送信元からの試行回数の監視で防ぐ。他社から流出したIDとパスワードの組を使うパスワードリスト攻撃とも区別する。
関連用語
出た過去問
出典：令和元年度 秋期 情報セキュリティマネジメント試験 午前 問19（IPA）
リバースブルートフォース攻撃に該当するものはどれか。
正解：パスワードを一つ選び、利用者IDとして次々に文字列を用意して総当たりにログインを試行する。
要点：リバースブルートフォースはパスワード固定でIDを総当たりする
リバースブルートフォース攻撃は、パスワードを固定したうえで利用者IDのほうを次々に変えてログインを試す攻撃である。通常のブルートフォース攻撃と逆の発想で、1つのIDに対する連続失敗が起きないため、アカウントロックによる検知をすり抜けやすいのが厄介な点である。
出典・参考
公式シラバスの1 技術要素 ＞ 1 情報セキュリティ ＞ サイバー攻撃手法に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。