ブルートフォース攻撃

仕組み

1 つのアカウントに、パスワードの候補を順に試すのが総当たりです。短いパスワードや、よく使われる言葉の組み合わせほど早く当たります。字数が 1 つ増えるごとに候補の数は何十倍にもなるので、長さがいちばん効きます。

1 つのパスワードを、多くのアカウントに少しずつ試す型もあります (パスワードスプレー)。アカウントごとの失敗は 1〜2 回なので、回数で鍵を掛ける仕組みに掛かりにくくなります。

ほかで漏れた ID とパスワードの組をそのまま試す攻撃は、リスト型攻撃として別の頁で扱っています。総当たりは、組を知らない所から当てに行く点が違います。

狙われやすいのは、Web のログインだけでなく、リモートの操作の入口、VPN、古い方式のメールの受け取りのように、多要素認証の掛かっていない入口です。試験用のアカウントや、使われなくなったアカウントもよく当たります。

記録と見張りに出る形

• 同じアカウントへの失敗が短い時間に続く。または多くのアカウントに 1〜2 回ずつの失敗が広く散らばる
• 失敗が続いたあとに成功が 1 つ来る。その成功は、ふだんと違う住所や時間からのことが多い
• ない名前のアカウントへの試行が多い
• 多要素認証の無い古い入口に、試行が寄る

守れているかの確かめ方

• 失敗と成功のログインを、アカウント、送り元、時刻つきで記録し、検索できる所に集める
• 自分の試験の環境で失敗を続け、待ち時間が延びるか、知らせが届くかを確かめる
• 多要素認証の例外になっているアカウントと入口を一覧にし、数を 0 に近づける
• 短すぎるパスワードや、漏れたパスワードの一覧に載る物が、登録の時点で弾かれるかを確かめる

実際に起きたこと

• 2024年1月19日 Microsoft の社内メールへの侵入 2023年11月下旬から、多要素認証の無い古い試験用のアカウントにパスワードスプレーが掛けられ、入られた。そのアカウントの権限から、経営陣やセキュリティ、法務の担当者を含む一部の社内メールが読まれた。気づいたのは2024年1月12日。 出典 Microsoft「Microsoft Actions Following Attack by Nation State Actor Midnight Blizzard」 2026年10月25日に確かめた
• 2024年4月16日 VPN と SSH への大規模な総当たり 2024年3月18日ごろから、複数の作り手の VPN 機器や、リモートの操作の入口に、よくある名前と組織の実在の名前で試行が増えた。地域や業種を選ばず、成功すれば入られ、失敗が重なればアカウントが閉じて使えなくなるおそれがあると報告している。 出典 Cisco Talos「Large-scale brute-force activity targeting VPNs, SSH services with commonly used login credentials」 2026年10月25日に確かめた