ブルートフォース攻撃とは？ぶるーとふぉーすこうげき
ブルートフォース攻撃とは、利用者IDを1つに固定し、パスワードとして考え得る文字の組み合わせを片端から入力してログインを試す攻撃。総当たり攻撃ともいう。計算資源が安くなるほど短時間で試行できるため、桁数と文字種の多さが抵抗力を決める。
最終更新：2026-10-06
この語が出る過去問を解く →背景
パスワード認証は「本人しか知らない文字列」という前提で成り立つが、その前提を試行回数で押し切れることは方式が生まれた当初から知られていた。かつては人手と低速な回線が事実上の歯止めだったが、GPUによる並列計算とクラウドの計算資源が安価になり、桁数の少ないパスワードは現実的な時間で尽くせるようになった。そのため対策の軸は、複雑な文字列を強いることから、試行そのものを止め認証要素を増やす方向へ移っている。
具体例
Microsoft Entra IDのスマートロックアウトのように、一定回数の失敗でサインインを一時的に拒む機能は多くの認証基盤に標準で備わっている。米国NIST SP 800-63Bの流れをくむ運用では、定期変更の強制よりも長さの確保と、流出済みパスワードの再利用禁止が重視される。
試験での引っ掛け
リバースブルートフォース攻撃と向きが逆。こちらはID固定でパスワードを変えるため失敗回数によるアカウントロックが効くが、パスワードを固定してIDを変えるリバース型にはロックが働きにくい。またパスワードリスト攻撃は他所から流出した実在の組み合わせを使うもので、総当たりではない。
関連用語
出た過去問
出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問16（IPA）
サーバへのログイン時に用いるパスワードを不正に取得しようとする攻撃とその対策の組合せのうち、適切なものはどれか。
正解：辞書攻撃：推測されにくいパスワードを設定する。／スニッフィング：パスワードを暗号化して送信する。／ブルートフォース攻撃：ログインの試行回数に制限を設ける。
要点：盗聴には暗号化、総当たりには試行回数制限で対応する
攻撃の性質に対応した対策を選ぶ問題である。辞書攻撃は辞書に載る語をパスワードに使わせないことが根本対策、スニッフィングは通信路の盗聴なので暗号化が対策、ブルートフォース攻撃は総当たりを試行させないようログイン試行回数を制限するのが有効となる。
出典：平成30年度 春期 情報セキュリティマネジメント試験 午前 問27（IPA）
暗号解読の手法のうち，ブルートフォース攻撃はどれか。
正解：与えられた1組の平文と暗号文に対し，総当たりで鍵を割り出す。
要点：ブルートフォースは鍵を全通り試す総当たり解読
ブルートフォース攻撃（総当たり攻撃）は、考えられる鍵をすべて順に試して正しい鍵を見つける手法である。既知の平文と対応する暗号文が1組あれば、候補の鍵で復号して平文と一致するかを確かめられる。鍵空間を十分大きくする（鍵長を長くする）ことが根本的な対策となる。
出典：令和元年度 秋期 情報セキュリティマネジメント試験 午前 問19（IPA）
リバースブルートフォース攻撃に該当するものはどれか。
正解：パスワードを一つ選び、利用者IDとして次々に文字列を用意して総当たりにログインを試行する。
要点：リバースブルートフォースはパスワード固定でIDを総当たりする
リバースブルートフォース攻撃は、パスワードを固定したうえで利用者IDのほうを次々に変えてログインを試す攻撃である。通常のブルートフォース攻撃と逆の発想で、1つのIDに対する連続失敗が起きないため、アカウントロックによる検知をすり抜けやすいのが厄介な点である。
出典・参考
公式シラバスの1 技術要素 ＞ 1 情報セキュリティ ＞ サイバー攻撃手法に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。