ブルートフォース攻撃とは、ログイン認証情報、暗号化キー、またはその他の隠された情報を、総当たり（試行錯誤）によって体系的に推測するハッキング手法です。攻撃者は、正しい組み合わせが見つかるまで、あらゆる組み合わせを次々と試します。
その名前が示すとおり、この攻撃は特別に巧妙な手法ではありません。攻撃者は、アカウントや盗まれたパスワードデータベースに対して、一致するものが見つかるまでひたすら試行を繰り返し、その粘り強さとコンピューティング性能に頼ります。これはセキュリティ分野で最も古い攻撃手法の一つですが、特に短いパスワードや使い回されたパスワードに対しては現在でも有効であるため、今なお一般的に利用されています。
パスワードの強度や使用されるハードウェアによっては、ブルートフォース攻撃に要する時間は数秒から、宇宙の年齢よりも長い時間まで大きく異なります。これに対する最も効果的な防御策は、長く、ランダムで、他と重複しない固有のパスワードを使用することです。そして、それを現実的に実践できるようにするのがパスワードマネージャーです。TeamPasswordは、チームのパスワードを強力かつ整理された状態で管理しやすくします。14日間の無料トライアルを始めて、会社のアカウントを保護しましょう。
ブルートフォース攻撃の仕組み
最も単純な形では、攻撃者は考えられるパスワードの一覧を作成し、それぞれを順番に試していきます。そして、ログインに成功するか、盗み出したパスワードハッシュと一致するものが見つかるまで試行を続けます。実際には、現在では純粋な総当たりだけを行う攻撃者はほとんどいません。一般的なパスワードの辞書、過去の情報漏えいデータ、人間が作りがちな予測可能なパターンなどを組み合わせることで、単純な推測をより効率的かつ標的を絞ったものにしています。
多くの人が見落としがちな重要なポイントは、「どこで推測が行われるのか」という点です。これによって、有効な防御策が大きく変わります。
オンライン・オフラインブルートフォース攻撃
ブルートフォース攻撃には、大きく分けて2つの異なるシナリオがあり、それぞれ異なる対策が必要です。
オンライン攻撃は、実際に稼働しているログインフォームを標的とします。攻撃者は実際のWebサイトやサービスに対してパスワードを試すため、そのサービスで実装されているアカウントロック、レート制限、CAPTCHA、多要素認証（MFA）などの防御策の影響を受けます。これらの対策により、オンラインでのブルートフォース攻撃は時間がかかり、目立ちやすくなるため、適切に設定されたシステムに対して成功することはほとんどありません。
オフライン攻撃こそが本当の脅威です。攻撃者が情報漏えいによってパスワードハッシュを含むデータベースを盗み出すと、それらのハッシュを自分たちのハードウェアへコピーし、ローカル環境で推測を行います。この場合、アカウントロックもレート制限もなく、攻撃を遅らせる警告もありません。セキュリティ研究機関であるHive Systemsが述べているように、ログインページにある「5回失敗したらロックされる」といったルールは、ハッシュが攻撃者のマシンに渡った時点で何の意味もなくなります。攻撃者は、望む限り、1秒間に何十億回もの推測を続けることができます。まずハッシュを入手し、その後で時間をかけて解析すればよいのです。
このため、サイト側で優れたアカウントロック機能が導入されていても、強力で他と重複しない固有のパスワードを使用することが重要です。アカウントロックはログイン画面という「玄関」を守ることはできますが、ご自身のパスワードハッシュがすでに他人の手に渡ってしまった後では、何の効果もありません。
ブルートフォース攻撃と関連する攻撃の種類
教科書的なブルートフォース攻撃では、考えられるすべての文字の組み合わせを順番に試します。しかし、現代の攻撃の多くは、より賢い手法を採用しています。純粋なブルートフォース攻撃では、「password」というパスワードも「aT./$x6m」というパスワードも、理論上は同じように推測対象となります。しかし実際の攻撃者は複数の手法を組み合わせるため、一般的なパスワードや使い回されたパスワードは、はるかに短時間で突破されてしまいます。主な種類は以下のとおりです。
1. シンプルなブルートフォース攻撃
攻撃者は、考えられるすべての組み合わせを順番に試します。例えば、パスワードが6文字の小文字アルファベットだけに限定されている場合、「aaaaaa」から始まり、「aaaaab」と続き、最終的に「zzzzzz」まで試行します。すべてを網羅するため、最終的には必ず成功しますが、長く複雑なパスワードに対しては現実的ではないほど時間がかかります。
2. 辞書攻撃
すべての組み合わせを試す代わりに、攻撃者は、過去の情報漏えいなどから収集した、よく使われるパスワードのリストを利用します。たとえば、「password123」「qwerty」「letmein」などです。多くの人が単純なパスワードを設定しているため、この方法は純粋なブルートフォース攻撃よりもはるかに効率的です。
3. ハイブリッドブルートフォース攻撃
ハイブリッド攻撃では、まず辞書に登録されたパスワードを基にし、それぞれに数字や記号、大文字を追加・変更したパターンを試します。たとえば、「password」の次に「Password1!」や「password1234」を試します。これは、複雑さの要件を満たすために、多くの人が弱いパスワードへ予測しやすい変更を加える傾向を狙った攻撃です。
4. リバースブルートフォース攻撃
この攻撃では、攻撃者は既知のパスワード（多くの場合、情報漏えいによって入手したもの）から開始し、そのパスワードを多数のユーザー名に対して試します。パスワードを使い回している場合、この攻撃は非常に効果的であり、一度漏えいした認証情報によって、まったく異なる複数のサービスのアカウントへアクセスされる可能性があります。
5. クレデンシャルスタッフィング
クレデンシャルスタッフィングでは、盗まれたユーザー名とパスワードの組み合わせを、多数のWebサイトで試します。この攻撃ではパスワードを推測する必要はありません。攻撃者はすでに有効な認証情報を持っており、それが他のサービスでも利用できるかを確認するだけです。パスワードの使い回しが非常に多いため、この攻撃は極めて高い成功率を誇ります。
ブルートフォース攻撃を支えるツール
ここで紹介する内容は、パスワードを解析する方法を教えるためのものではありません。ネットワークを保護する際に、実際にどのような脅威と向き合っているのかを理解するためのものです。攻撃者は、このためのさまざまなツール群を構築しています。
自動パスワード解析ソフトウェアは、手作業を不要にし、辞書攻撃やハイブリッド攻撃を自動で実行できます。また、MySQLやTelnetなどのプロトコルを対象にしたり、無線ルーターを標的にしたり、「password」「p4ssw0rd」「Pa55WoRd」のような予測しやすい文字の置き換えも自動で生成します。
レインボーテーブルは、ハッシュ値をあらかじめ計算して保存した一覧表です。これを利用することで、攻撃者は最も時間のかかる計算処理を省略し、盗まれたハッシュ値と元の文字列をはるかに高速に照合できます（ただし、現在一般的なソルト付きハッシュは、この手法に対して有効な防御策となります）。
**GPU（Graphics Processing Unit）**は、パスワード解析における重い計算処理を担います。パスワードクラッキングは大量の並列演算を必要とするため、数千もの演算コアを持つGPUは、一般的なCPUよりもはるかに高速にハッシュを解析できます。さらに、複数のGPUを組み合わせたり、クラウド上のGPUを大量に利用したりすることで、その速度はさらに向上します。重要なのは、具体的な速度倍率ではありません。倍率はアルゴリズムやハードウェアによって大きく異なります。しかし、結論は明確です。GPUを利用すると、オフラインでのパスワード解析はCPU単体と比べて劇的に、場合によっては桁違いに高速になります。
パスワードの解析にかかる時間
パスワードを解析するのにかかる時間は、パスワードの長さと複雑さ、ランダムに生成されているかどうか、そしてパスワードを保護しているハッシュアルゴリズムという3つの要素によって決まります。最後の要素は、多くの人が考えている以上に重要です。MD5のような高速でソルトのないハッシュは、1秒間に何十億回も推測できます。一方、bcryptのような意図的に処理速度を遅くし、ソルトを使用するハッシュは、はるかに解析が困難です。
実際の情報漏えいで最も一般的に見られるハッシュ方式であるbcryptを使用した場合、Hive Systemsの2026年版パスワード解析表では、レンタルした複数GPU（RTX 5090）の環境で、ランダムに生成されたパスワードに対してオフライン解析を行う場合、以下のように推定されています。
| パスワード | 推定解析時間（2026年・bcrypt） |
|---|---|
| 8文字・小文字のみ | 約2週間 |
| 8文字・大文字＋小文字＋数字＋記号 | 約132年 |
| 使い回されたパスワード、辞書ベースのパスワード、または過去の情報漏えいに含まれていたパスワード（文字数を問わない） | 数秒 |
いくつか注目すべき点があります。まず、複雑さと長さは実際に高い保護効果をもたらすということです。文字種をすべて含むランダムな8文字のパスワードは、「数週間で解析可能」から「100年以上かかる」レベルまで安全性が向上します。次に、この推定値は毎年短くなっています。たとえば、同じ条件での推定解析時間は、2024年には約225年、2025年には約164年、そして2026年には約132年でした。これは、レンタル可能なハードウェアの性能が年々向上しているためであり、今日「十分安全」と考えられるものが、将来的にはそうではなくなる可能性があることを示しています。そして、最も重要なのは、パスワードが使い回されていたり、辞書に載っている単語を含んでいたり、過去の情報漏えいに含まれていたりする場合は、これらの強度はほとんど意味を持たないという点です。攻撃者はそれらを最初に試すため、パスワードの長さに関係なく、数秒で突破されてしまいます。
これらの推定値は、盗まれたハッシュに対するオフライン攻撃を前提としています。これは、実際に最も重要な攻撃シナリオです。また、ランダムに生成されたパスワードであることも前提としています。人間が自分で考えたパスワードは、はるかに予測しやすく、その分、解析されるまでの時間も大幅に短くなります。
実際の事例
2012年に発生したLinkedInの情報漏えいは、教科書的な事例です。攻撃者は約1億1,700万件のパスワードハッシュを盗み出しました。そして、それらのハッシュにはソルトなしのSHA-1（現在の基準では高速で安全性の低い方式）が使用されていたため、その多くがオフラインで解析され、その後、取引・販売されました。さらに、LinkedInで使用していたパスワードを他のサービスでも使い回していたユーザーは、その後、他のアカウントに対するリバースブルートフォース攻撃やクレデンシャルスタッフィング攻撃の対象となりました。この事例には、一連の流れがすべて含まれています。情報漏えいによってハッシュが盗まれ、弱いハッシュ方式によってオフライン解析が容易になり、さらにパスワードの使い回しによって、1件の情報漏えいが複数のアカウント侵害へとつながったのです。
攻撃者がブルートフォース攻撃で得るもの
ブルートフォース攻撃は、無料で実行できるものではありません。攻撃者は、高性能なコンピューティング環境を自ら所有するか、レンタルするか、あるいは何年もかけてボットネットを構築する必要があります。その見返りとして、次のような利益を得ます。
- 広告収益を得たり、利用者の行動データを収集したりする
- 個人情報や金融資産を盗む
- マルウェアを拡散する
- システムを乗っ取り、さらなる攻撃に利用する
- Webサイトの評判を損なう
ブルートフォース攻撃のリスクを減らす方法
対策は、大きく2つに分けられます。1つは、個人が自分自身のアカウントを守るための対策、もう1つは、管理者が複数のユーザーを抱えるシステムを保護するための対策です。どちらも重要な対策となります。
自分自身を守る（個人向け）
複雑さよりも、まず長さを重視しましょう。 パスワードの解析を難しくする最も重要な要素は、記号の種類を増やすことよりも長さです。これは、現在のNIST SP 800-63Bのガイドラインにも反映されています。このガイドラインでは、長いパスフレーズを推奨し、定期的なパスワード変更を強制することは、かえって「Spring2026!」のような予測しやすいパターンを生み出すため推奨していません。パスワードは12文字を大きく超える長さを目指しましょう。
パスフレーズを使用しましょう。 ランダムな単語を複数組み合わせた長いパスフレーズは、覚えやすく、解析されにくいという特徴があります。強力なパスフレーズの作り方を理解し、マスターパスワードのように自分で入力する必要があるパスワードには、パスフレーズを使用しましょう。
パスワードを使い回さないようにしましょう。 1件の情報漏えいで他のアカウントまで侵害されるべきではありません。特に、メール、銀行口座、その他の重要なサービスでは、認証情報を絶対に使い回さないでください。ゲームのログインと銀行口座で同じパスワードを使用している場合、一方の情報漏えいが、もう一方の資産流出につながる可能性があります。
よく使われるパスワードは避けましょう。「password」「123456」「qwerty」など、「最悪のパスワード一覧」に載っているようなものは、辞書攻撃で最初に試されます。
多要素認証（MFA）を有効化しましょう。 パスワードが解析されたとしても、第2の認証要素が必要であれば、それだけではログインできません。2FAとMFAの違いを比較する場合は、それぞれの違いを理解した上で選択しましょう。
パスワードマネージャーを使用しましょう。 パスワードマネージャーは、長くランダムなパスワードを自動生成し、ユーザーが覚える必要なく安全に保管します。また、1つのログイン情報が漏えいしても、他のアカウントへの影響を防ぐことができます。
ネットワークを保護する（管理者向け）
他のユーザーのログインを管理する立場であれば、オンラインブルートフォース攻撃を防ぐために重要なのは、サーバー側の対策です。
- レート制限（Rate Limiting）：繰り返されるログイン試行の速度を大幅に制限します。
- アカウントロック：一定回数ログインに失敗すると、一時的にアカウントをロックします（攻撃者が正規ユーザーを締め出す目的で悪用できないよう、適切なバランスが必要です）。
- CAPTCHA：自動化されたログインスクリプトをブロックします。
- IPスロットリングとジオフェンシング：不審な送信元からの通信を制限または検知します。
- 監視とアラート：ログイン失敗回数の急増を検知し、アカウントが侵害される前に対応できるようにします。
- 強力なハッシュ方式：bcrypt、scrypt、Argon2、または十分に高いワークファクターとソルトを使用したPBKDF2を採用することで、盗まれたハッシュのオフライン解析を大幅に困難にします。
- すべてのアカウントでMFAを必須化：組織全体のセキュリティレベルを底上げします。
よくある質問
ブルートフォース攻撃にはどれくらい時間がかかりますか？
パスワードの長さ、複雑さ、ランダム性、そして使用されているハッシュアルゴリズムによって異なります。Hive Systemsの2026年のデータによると、文字種をすべて含むランダムな8文字のパスワードは、bcryptに対するオフライン解析では約132年かかるとされています。一方、使い回されたパスワードや辞書ベースのパスワードは、数秒で解析される可能性があります。MD5のような高速でソルトのないハッシュを使用している場合は、解析時間はさらに大幅に短くなります。
ブルートフォース攻撃と辞書攻撃の違いは何ですか？
シンプルなブルートフォース攻撃は、考えられるすべての文字の組み合わせを順番に試します。一方、辞書攻撃では、一般的によく使われるパスワードや、過去の情報漏えいから収集された単語など、あらかじめ用意されたパスワードリストだけを試します。多くの人が予測しやすいパスワードを使用しているため、辞書攻撃の方がはるかに高速です。ハイブリッド攻撃は、この2つの手法を組み合わせたものです。
ブルートフォース攻撃は違法ですか？
はい。権限のないアカウントやシステムへアクセスを試みる行為は、米国のComputer Fraud and Abuse Act（CFAA）をはじめ、多くの国や地域で違法とされています。セキュリティ専門家がこれらの手法を使用するのは、正式に許可されたペネトレーションテストなど、明確な許可を得ている場合に限られます。
2FAはブルートフォース攻撃を防ぐことができますか？
オンライン攻撃に対しては、ほぼ防ぐことができます。攻撃者がパスワードを推測または解析できたとしても、多要素認証（MFA）では攻撃者が持っていない第2の認証要素が必要になります。これは利用できる対策の中でも特に効果的なものの一つですが、強力で他と重複しないパスワードの代わりになるものではありません。
ブルートフォース攻撃を受けていることは、どのように確認できますか？
個人の場合は、自分で実行した覚えのないログイン失敗通知やパスワードリセット通知が急増していないかを確認してください。管理者の場合は、認証失敗の急増、1つのIPアドレスから多数のアカウントへのログイン試行、または通常とは異なる場所からのログインなどを、監視システムで検知できるようにしておく必要があります。
TeamPasswordでチームをブルートフォース攻撃から守る
すべてのアカウントで強力かつ他と重複しないパスワードを使用することが、セキュリティの基本です。TeamPasswordは、それをチーム全体の標準にします。TeamPasswordは強力な認証情報を生成・共有できるため、誰かが弱いパスワードを使い回してしまう誘惑を防ぎ、適切なパスワード管理の文化を構築することで、ブルートフォース攻撃のリスクを低減します。
- 組み込みのパスワード生成機により、すべてのアカウントに対して12～32文字の長くランダムなパスワードを生成できます。
- 強制適用可能な2FAにより、組織全体で第2の認証レイヤーを追加し、パスワードが漏えいした場合でも不正アクセスを防ぎます。
- AES-256による暗号化で、保存された認証情報を業界標準の方法で保護します。
- アクティビティログにより、誰が、いつ、どのパスワードへアクセスしたかを確認でき、確実な監査を実現します。
料金は1ユーザーあたり月額400円からです。14日間の無料トライアルに登録して、今すぐチームの認証情報を保護しましょう。
