リバースブルートフォース攻撃とは何か
はじめに
ブルートフォース攻撃と聞くと、多くの人は「1つのアカウントに対して大量のパスワードを試す攻撃」を思い浮かべるでしょう。しかし、現代の攻撃者はそんな目立つ方法はあまり使いません。
そこで登場するのが リバースブルートフォース（Reverse Brute Force）。
これは、**防御側の想定を巧みにすり抜ける“逆転の発想”**に基づく攻撃手法です。
リバースブルートフォースの定義
リバースブルートフォースとは、
1つのパスワードを固定し、多数のユーザーアカウントに対してログインを試行する攻撃
を指します。
通常のブルートフォースとの違い
| 観点 | 通常のブルートフォース | リバースブルートフォース |
|---|---|---|
| 固定する要素 | ユーザー名 | パスワード |
| 試行対象 | 多数のパスワード | 多数のユーザー |
| 検知されやすさ | 高い | 低い |
| ロックアウト | 発生しやすい | ほぼ発生しない |
この「1ユーザー1回だけ失敗する」という挙動が、最大の特徴です。
攻撃者はなぜこの手法を使うのか
理由は単純で、成功率と隠蔽性のバランスが極めて良いからです。
攻撃者の現実的な前提
- 全ユーザーが強力なパスワードを使っていることは稀
- 一部のユーザーは「よくあるパスワード」を使い回す
- ログイン失敗が1回程度ならアラートは上がらない
結果として、以下のような戦略が成立します。
Password123!
Welcome@123
CompanyName2025!
これらを1回ずつ、1000人に試す
実際の攻撃フロー
-
ユーザー名リストの収集
- メールアドレス
- 社員名簿
- GitHub / LinkedIn / SNS
- 推測（名.姓 / 姓.名）
- ありがちなパスワードを1つ選択
- 各ユーザーに対して1回のみログイン試行
- 数百回に1回、正解が出る
- 内部リソースへ侵入成功
重要なのは、
アカウントロックも、連続失敗も発生しない点です。
なぜ検知が難しいのか
多くの認証防御は、次のような前提で設計されています。
- 同一ユーザーへの連続失敗 → 攻撃
- 短時間に大量試行 → 攻撃
しかしリバースブルートフォースは：
- ユーザーごとに 1回だけ
- 時間を分散
- IPを分散（VPN / Bot / クラウド）
という**「人間の操作に酷似した振る舞い」**をします。
結果として、ログはこう見えます。
「たまたま複数のユーザーがパスワードを間違えただけ」
――監視者の目を、静かにすり抜けます。
パスワードスプレーとの関係
実務上、以下のように整理されます。
-
リバースブルートフォース
→ 攻撃概念・分類名 -
パスワードスプレー（Password Spraying）
→ その代表的・実践的な手法
現在の攻撃事例では、ほぼ同義語として使われることも珍しくありません。
狙われやすいシステム
- Microsoft 365 / Google Workspace
- VPN（SSL-VPN / IPsec）
- 社内SSO
- クラウド管理コンソール
- Git / Jira / Confluence などの開発基盤
共通点はひとつ。
「外部からログインできる」こと
有効な防御策
1. 多要素認証（MFA）
最優先対策。ほぼ必殺。
- パスワードが当たっても突破不可
- 攻撃コストが一気に跳ね上がる
2. 横断的ログ分析
単体ではなく「全体を見る」ことが重要です。
- 同一IPから複数ユーザーへの失敗
- 同一パスワード傾向の検出
- 時間帯・地理的異常
3. 弱いパスワードの排除
- 既知漏洩パスワードの利用禁止
-
Welcome,CompanyName,Season+Yearパターンの拒否
4. レート制限の再設計
- ユーザー単位だけでは不十分
- IP × User × 時間 の組み合わせ評価が必要
セキュリティ的な本質
「ロックアウトしているから安全」
これはもはや過去の常識です。
現代の攻撃は
静かに・分散し・人間らしく 行われます。
リバースブルートフォースは、その代表例と言えるでしょう。
おわりに
リバースブルートフォースは、
「技術的に高度」なのではなく、
人間と運用の隙を突く攻撃です。
だからこそ、
技術 × 運用 × 監視をセットで考える必要があります。