ブルートフォース攻撃とは何か、そしてそれを防ぐ方法は？

データ侵害のコストを定量化するのは複雑ですが、ますます多くの組織が攻撃の犠牲になるにつれて、その潜在的な財政的影響はより明確になってきています。IBMの最新のデータ侵害コスト報告書によると、2022年に世界全体でのデータ侵害の平均コストは350万ドルという過去最高に達する見込みです。

このウェブ時代において非常に一般的な脅威が、総当たり攻撃です。総当たり攻撃とは、サイバーセキュリティにおいて、文字、数字、記号のすべての可能な組み合わせを体系的に試して正しいパスワードを発見しようとする試みです。パスワードだけが総当たり攻撃の対象というわけではなく、リンクやディレクトリ、ユーザー名、メールアドレスもよく狙われる対象です。

ブルートフォース攻撃の種類：

ブルートフォース攻撃には、一般的に5つの種類があります

このようなブルートフォース攻撃では、攻撃者は特定の一連のIDを標的にして複数のパスワードを試します。ここでは、ハッカーが手動で推測を試みるか、ユーザーのログイン資格情報に関してソフトウェアを使用せずに試行錯誤法を用いるため、この方法は時間とリソースを大量に消費します。ハッカーは、すべての可能な文字、数字、特殊文字を生成しようとします。この方法は短いパスワードに対してのみ有効ですが、少し長いパスワードに対しては非常に非効率です。

パスワードスプレイングは、攻撃者がユーザー名のリストとデフォルトパスワードに基づいてアプリケーションにブルートフォースでログインする、逆ブルートフォース攻撃の一種です。この攻撃は、管理者が新規ユーザーにデフォルトパスワードを設定する領域で通常使用されます。通常、攻撃者はパスワードを推測しようとします。しかし、単一のアカウントに集中するブルートフォース攻撃とは異なり、この場合のパスワードインジェクション攻撃は複数のアカウントを同時に標的にします。ここでは、攻撃者は少数の共通パスワードで多数のアカウント（ユーザー名）にアクセスを試みます。

名称から明らかですが、これは辞書に通常見られる多数の事前定義された一般的なフレーズや用語を使用する攻撃です。一般的に、優れたパスワードリストは攻撃者の成功確率を高めることができますが、ここでは潜在的なターゲットに対して複数回の試行が必要になることが多いです。この種の攻撃の欠点は、時間がかかり、最新の強力な攻撃手法と比較して確率が低いことです。

この種の攻撃では、ハッカーは辞書攻撃と単純なブルートフォース攻撃を組み合わせます。ハッカーは通常ユーザー名を把握しているため、辞書攻撃と単純なブルートフォースの両方を用いてアカウントのログイン情報を特定しようとします。この手順では、辞書から一般的な単語を選び、それをランダムな数字や文字に置き換えます。この組み合わせアプローチはより効果的です。

「クレデンシャルスタッフィング」攻撃とは、サイバー犯罪者が複数のウェブサイトのログイン欄に、乗っ取ったり何らかの形で漏洩したパスワードを入力する攻撃です。この攻撃は、ユーザーが同じユーザー名とパスワードの組み合わせを使用したり、異なるソーシャルメディアアカウントやプロファイルでパスワードを再利用した場合に成功します。盗まれた資格情報は、ダークウェブ上でサイバー犯罪者同士で売買や交換が行われます。

攻撃者は、ブルートフォース攻撃によって常にパスワードを特定できます。パスワードの長さや複雑さによって、何兆もの組み合わせが存在する可能性があり、そのため対象のパスワードを解読するのに数年かかることもあります。

ブルートフォース攻撃を防ぐ方法：

総当たり攻撃の成功は、パスワードを解読するのに要する時間によって評価されます。パスワードの長さが増すにつれて、解読に必要な時間は指数関数的に増加します。1500万のキーストロークを毎秒行える企業レベルのリソースでも、7桁のパスワードを解読するには9分かかると推定されています。13桁のパスワードの場合は、35万年以上かかるでしょう。