総当たり攻撃（ブルートフォースアタック）とは？パスワードが1秒で破られる恐怖

「自分のパスワードは大丈夫」と思っていませんか？

私は過去にSIMスワップ詐欺被害を経験し、パスワードを突破されて複数のアカウントが乗っ取られました。

その時初めて「パスワードは簡単に破られる」という現実を痛感しました。

本記事では、総当たり攻撃（ブルートフォースアタック）の仕組みから、悪いパスワードの特徴・安全な設定方法・今すぐできる管理術までを解説します。

あなたの大切な資産を守るために、ぜひ最後までご覧ください。

本記事では、知らなかったでは済まないパスワードの破られ方から、今すぐできる安全対策までを徹底解説します。

総当たり攻撃（ブルートフォースアタック）とは？

総当たり攻撃（ブルートフォースアタック）とは、パスワードを一つずつ機械的に試し続ける攻撃手法のことです。

例えば「abcd」「1234」といった単純なパスワードは、プログラムを使えばわずか数秒で突破されてしまいます。

現在のコンピューターの処理速度を考えれば、「8桁の英数字だけ」では到底安全とは言えません。

総当たり攻撃（Brute Force Attack）とは、ハッカーがターゲットのアカウントやシステムに不正アクセスするために、あらゆる可能なパスワードの組み合わせを試す攻撃手法のことです。

この攻撃は、短時間で大量の試行を行うためにコンピューターの処理能力を利用します。

例えば、「123456」「password」といったよく使われる簡単なパスワードや、短い文字列で構成されたパスワードは、この攻撃に非常に弱いと言えます。

総当たり攻撃は基本的な攻撃手法ですが、その効率性とコンピューター技術の進歩により、大きな脅威となっています。

総当たり攻撃の仕組み

総当たり攻撃は、基本的に次のような手順で行われます。

1. ターゲットを特定する 攻撃者は、ターゲットのアカウント情報（ユーザー名やメールアドレス）を把握します。
   
2. パスワードの候補を生成する 攻撃ツールが文字や数字、記号のすべての組み合わせを自動的に生成します。
   リスト型のデータ（パスワード辞書）を用いる場合もあります。
   
3. 試行を繰り返す ツールが生成したパスワードを1つずつ試し、正しいものを見つけるまで繰り返します。
   
4. パスワードが突破される 一致するパスワードが見つかれば、攻撃は成功となり、アカウントが乗っ取られる危険性が高まります。

---

パスワードが破られたらどうなる？

まずパスワードが破られたらどうなるのかお話します。

実際、私も被害に遭ったとき、最初は「ただの小さなトラブル」だと思っていました。

しかし気づいたときには、メルカリやLINEなど複数のサービスが一斉に侵入される事態に！！

私の場合は、全てのアカウントが乗っ取られたことによる金銭被害と警察への対応や各サービスへの連絡等の負担で疲れ果てました。

詐欺に遭ってしまったという精神的ダメージは想像以上のものでした。

SNSの乗っ取り

SNSのアカウントのパスワードが破られたら、悪質な書き込みやつぶやきをされてしまうかもしれません。

更にあなたの友人にフィッシングメールを送り、更に被害を拡大させる可能性もあり、あなたの信用がガタ落ちになります。

ECサイト不正利用

ECサイトのパスワードが破られたら、クレジットカードを利用して買い物をされてしまいます。

送り先は個人情報である自分の住所を書き換えられていますので当然あなたの元には届きません。

その場合は、買った覚えもなく、品物も手に入らないのにクレジットカードの借金だけが残ることになります。

銀行や証券口座

金融機関・証券会社のパスワードが破られたら、銀行内や証券会社内に預けている資金が抜き取られてしまいます。

場合によっては借金を作られてしまう可能性もあります。

絶対NG！「悪いパスワード」の特徴

破られたらとても恐いパスワードですが、パスワードを作るときはついつい自分が覚えておきやすいものを選びがちです。

残念ながら、これらは攻撃者にとって“ご馳走”です。

総当たり攻撃や辞書攻撃のリストに必ず含まれているため、突破される可能性が極めて高いのです。

安心できるパスワードの3つの黄金ルール

それでは、どんなパスワードが良いかというと、安全なパスワードには明確な条件があります。

この3つを全て満たすものが良いパスワードとされています。

12桁以上の長さを確保する

今のパスワード攻撃は人間が考えておこなっているのではありません。

全てコンピューターで破っているのです。

「ブルートフォース」はパスワードとして可能な文字列を総当たりで試すという攻撃です。

例えば4桁の暗証番号をパスワード（パスコード）に使用している場合、「0000」～「9999」の1万種類の組み合わせを全て試すことで、必ず正解にたどり着くことになります。

人力で実施するのは困難ですが、コンピュータでは、１万とおりを瞬時で解読できるといわれています。

この総当たり攻撃をされるとパスワードがどれくらいの時間で破られてしまうのかを長さ（桁数）別に表にしました。

参照Home Security Heroes AIツール「PassGAN」による解析結果

黄色い枠は瞬時、もしくは1ヶ月以内には突破されてしまうパスワードです。

私は楽天のパスワードを突破されたのですが、その時のパスワードは数字8桁でした・・・。

「自分と関係のない数字だからわからないだろう」と安心していたのですが、人間が考えて解析すると思っていたことがそもそもの大間違いです。

この表からも長さがとても大事であることがわかると思います。

英大文字・小文字・数字・記号を組み合わせる

数字と小文字と大文字と記号を組み合わせると10文字でも突破されるのに5年かかります。

このような結果からパスワードは英大文字・小文字・数字・記号を組み合わせた上で12桁以上にすれば完璧です！

使い回しは絶対にしない

パスワード攻撃の一つである「パスワードリスト攻撃」というものをご存じでしょうか？

攻撃者があらかじめ何らかの方法で入手した、サービスやシステムのIDとパスワードをリスト化したデータを利用し、不正にWebサイトへの不正アクセスを試みるという攻撃方法です。

インターネットを利用するユーザーは、複数のサイトで共通したID・パスワードを用いてる人が多いです。

複数のサイトで同じアカウント情報を使いまわしていると、攻撃者はその利用者の複数のサービスのアカウントを乗っ取り、個人情報を搾取したり、不正送金をしたりしやすくなってしまいます。

私はパスワードを使い回していたせいで、楽天以外にもLINEやメルカリなどの様々なアカウントを乗っ取られました。

また攻撃者がパスワードリストを入手する手段の一つに、フィッシング（後述しています）が挙げられます。

フィッシングは、メールやSNSなどで正規の企業や組織を偽ってフィッシングサイトと呼ばれる偽装サイトへ誘導し、IDやパスワードなどを入力させる詐欺のことをいいます。

こうしたフィッシングを通じて仕入れたID・パスワードのリストをパスワードリスト攻撃に利用している可能性があります。

そのため、フィッシング被害も原因の一つと考えられます。

＼ 覚えるパスワードは1つだけ ／

今すぐ始めたいパスワード管理術「1Password」

長くて複雑で使いまわさないパスワードが良いということはわかりました。

でも・・・

そうです。

覚えるパスワードはたった1つでいい

「1Password」は世界1500万人以上のユーザーに指示されているパスワード管理サービスです。

複数のパスワードを一つのアプリで一括管理できるのです。

あなたが覚えておくのはそのアプリを開くための「マスターパスワード」たった1つです。

安全性の高いパスワードを自動生成してくれる

「1Password」はランダムなパスワード・覚えやすいパスワード・暗証番号を自動で生成してくれます。

「ランダムなパスワード」は8文字から100文字まで選べて、数字や記号を入れるか入れないか選べます。

「覚えやすいパスワード」なら3語から15語、区切りもハイフンなどから数種類選べます。

「暗唱番号」なら3数字から12数字まで自動生成してくれます。

パスワードを作るときに何の文字をどれだけ使えばいいのかという悩みを解決してくれます。

＼覚えるパスワードは1つだけ ／

パスワード漏洩の原因はフィッシングやショルダーハッキング

そもそも個人情報を盗まれたり、IDやパスワードを漏らしてしまう原因をご存じでしょうか？

原因の多くは「フィッシング」や「ショルダーハッキング」なのです。

ショルダーハッキングとはその名のとおり、肩越しに盗み見されること。

IDとパスワードを忘れないようにメモしている人多いですよね？

そのような人為的ミスを起こさないために、自分でパスワードを管理しないことが大切なのです。

フィッシング対策

フィッシングとは、金融機関などの名前を詐称した電子メールを送りつけたり、偽の電子メールから偽のホームページに接続させたりするなどの方法です。

クレジットカード番号、アカウント情報（ユーザID、パスワードなど）といった重要な情報を盗み出す行為のことです。

最近では、電子メールの送信者名を詐称し、もっともらしい文面や緊急を装う文面にして送ってきます。

このようなSMSを受信したことありませんか？

また接続先の偽のWebサイトを本物のWebサイトとほとんど区別がつかないように偽造するなど、どんどん手口が巧妙になってきており、ひと目ではフィッシング詐欺であるとは判別できないケースが増えてきています。

フィッシング対策をするには必ず正しいWebサイトにログインをすることです。

「1Password」を利用するとあらかじめ登録しておいた正しいWebサイトにログインできるので、偽サイトに個人情報を入力することを防ぐことができます。

ショルダーハッキング対策

 「ショルダーハッキング」とは、パスワードなどの重要な情報を入力しているところを後ろから近づいて、覗き見る方法です。

ショップの店員さんなどはクレジットカードの暗証番号を入力するときには顔をそらして見ないように配慮してくれていますよね。

しかし、店員さんではなくひょっとしたら後ろに並んでいるお客さんが覗き見てるかもしれません。

たとえオフィス内であったとしても、キーボードでパスワードなど重要な情報を入力する際には、周りに注意しなければなりません。

ショルダーハッキングの対策としては、キーボードで入力しなければいいのです。

「1Password」を利用すると「…………」と隠されたパスワードをコピーして貼り付けるだけでOKなのでバレる心配はありません。

＼ 覚えるパスワードは1つだけ／

まとめ

総当たり攻撃は誰でも被害に遭う可能性があり、決して他人事ではありません。

あなたのパスワードを見直してみましょう。

良いパスワードの条件は次の3つを全て満たすものでした。

1. 12桁以上の長さを確保する
2. 英大文字・小文字・数字・記号を組み合わせる
3. 使い回しは絶対にしない

ただその3つを満たすものは自分で覚えておくのは非常に難しいです。

そしてパスワード漏洩の原因のほとんどが人為的ミスですので、対策としては自分で管理せずパスワード管理アプリで守ることです。

「1Password」は安全なパスワードを自動生成してくれて、全て覚えていてくれます。

あなたが覚えておくのは「1Password」を開くマスターパスワードたった1つだけ。

正しいサイトのログイン画面に案内してくれて、パスワードも自動入力してくれたり、コピペで簡単に入力できます。

自分よりミスがない「1Password」は、これからのネット社会において欠かせないツールです。

「1Password」の安全性についての記事はこちら

にほんブログ村