総当たり攻撃とは？

01総当たり攻撃のしくみ

総当たり攻撃（ブルートフォース攻撃）は、考えられるパスワードを機械で片っ端から試す攻撃です。人が手で打つのではなく、プログラムが休まず試し続けます。パスワードが短いほど、また使う文字の種類が少ないほど、組み合わせの数が減り、早く当てられます。

たとえば数字だけの6けたなら、組み合わせは100万通りです。数字4けたなら1万通りしかありません。英字の大文字・小文字と数字をまぜて長くすると、組み合わせは桁違いに増えます。

よく似た攻撃に、よく使われるパスワード（「password」「123456」など）だけを順に試すものや、パスワードを1つに決めて多くのIDに試すものがあります。漏れたIDとパスワードの組をそのまま使う攻撃はリスト型攻撃と呼ばれ、区別されます。

02よくある被害の例

• 社外からつなぐためのリモートデスクトップやVPN機器の管理画面に、簡単なパスワードのまま外から入られる。
• Webサイトの管理画面のパスワードを当てられ、ページを書き換えられる。
• 買ったときのままの初期パスワードのルーターや防犯カメラに入られ、攻撃の踏み台にされる。

03防ぐには

• パスワードを長くします。総務省は、ある程度長いランダムな英数字の並びが理想とし、覚える必要があるなら、関係のない複数の単語をつなげ、間に数字をはさむ方法を挙げています。
• 機器やサービスの初期パスワードは、使い始める前に変えます。
• 何回か続けて間違えたら、しばらくログインできなくする設定（アカウントロック）を使います。
• 二段階認証を設定します。パスワードを当てられても、それだけでは入れなくなります。
• 管理画面やリモート接続の入口を、必要のない人や場所から見えないようにします。

長いパスワードをいくつも覚えるのは難しいので、パスワード管理のアプリに作らせて保管させるのが現実的です。

04被害にあったら

1. 入られたアカウントのパスワードを長いものに変え、二段階認証を設定します。
2. ログインの記録を見て、いつ、どこから入られたかを確かめます。
3. 入られたあとに作られた知らないアカウントや、変えられた設定がないかを確かめます。
4. 会社の機器なら、ほかの機器に広がっていないか、専門の会社に調べてもらいます。