ブルートフォース攻撃って何？

日常生活でたとえると

ブルートフォース攻撃を一言で説明すると、「力ずくでパスワードを当てる」方法です。

身近な例で考えてみましょう。友達の家に遊びに行ったとき、玄関の暗証番号を忘れてしまったとします。4桁の数字なので、0000から9999まで順番に試していけば、いつかは正解にたどり着きますよね。これがまさにブルートフォース攻撃の考え方です。

なぜコンピュータだと危険なのか

人間が暗証番号を1つずつ試すと、1回に10秒かかるとして、最悪9999回試すのに約28時間かかります。でもコンピュータなら**1秒間に1000回以上**試すことができ、約10秒で正解を見つけてしまいます。これが、デジタル世界でブルートフォース攻撃が恐ろしい理由です。

なぜ「総当たり」というのか

「ブルートフォース」は英語で「brute force」と書き、日本語では「総当たり攻撃」とも呼ばれます。

トーナメント戦と総当たり戦の違いを思い出してください：

• トーナメント戦：負けたら終わり（効率的だが、全員と戦わない）
• 総当たり戦：全員と必ず戦う（時間はかかるが、確実）

パスワードを破る場合も同じです。賢い推測をするのではなく、考えられるすべての組み合わせを順番に試すから「総当たり」なのです。

具体的な例：

3桁の数字の南京錠の場合
000 → 001 → 002 → 003 → ... → 997 → 998 → 999
最大1000回試せば必ず開く！

あなたも標的になる可能性

「私は有名人でもお金持ちでもないから大丈夫」と思っていませんか？実は誰でも標的になる可能性があります。

狙われる理由：

あなたの情報	犯罪者にとっての価値	悪用方法
メールアドレス	月1,000円で売買	迷惑メール送信
SNSアカウント	月3,000円でレンタル	なりすまし詐欺
ショッピングサイト	クレジットカード情報	不正利用
銀行口座	直接的な金銭	送金・引き出し
会社のアカウント	企業情報へのアクセス	産業スパイ・身代金要求

犯罪者は「価値がありそうな人」を選ぶのではなく、「パスワードが弱そうな人」を狙います。

---

身近な例で理解する攻撃の仕組み

自転車の鍵を総当たりで開ける泥棒

昔の自転車の鍵を思い出してください。4桁のダイヤル式の鍵がありましたね。

泥棒の手口

泥棒は0000から始めて、0001、0002...と順番に回していきます。普通の泥棒なら1つ試すのに3秒かかるとして、最悪の場合9999まで約8時間。でも、もし機械を使って1秒に10個試せたら、**たった17分で開けられます**。これがコンピュータを使った攻撃の怖さです。

時間の比較：

方法	1回の時間	全部試す時間	成功確率
人間の手	3秒	8時間20分	100%
簡単な機械	0.3秒	50分	100%
コンピュータ	0.001秒	10秒	100%

金庫の暗証番号を0000から試す

映画で見る金庫破りのシーンを想像してください。聴診器を当てて音を聞く...というのは映画の演出で、実際の泥棒は違います。

現実の金庫破り：

1. まず「よく使われる番号」から試す
   • 1234、0000、1111（これだけで30%が開く）
2. 次に「誕生日っぽい番号」を試す
   • 0101～1231の範囲（さらに25%が開く）
3. それでもダメなら総当たり
   • 0000～9999まですべて試す

コンピュータなら、この作業を人間の1万倍の速さで実行できます。

スマホのパスコードを推測する

お子さんのスマホのパスコードを当てようとしたことはありませんか？

よくあるパスコードのパターン：

パターン	例	使用率	推測しやすさ
連番	123456	15%	極めて簡単
同じ数字	111111	8%	極めて簡単
誕生日	0815（8月15日）	23%	簡単
記念日	0214（バレンタイン）	12%	やや簡単
ランダム	738291	42%	困難

コンピュータは、この「よくあるパターン」を学習していて、効率的に推測します。完全にランダムな数字以外は、思ったより簡単に破られてしまうのです。

---

こんなところで狙われている

SNSアカウント

Instagram、Twitter（X）、Facebook、LINEなど、毎日使うSNSが最も狙われやすいです。

なぜSNSが狙われるのか：

• 友達になりすまして詐欺ができる
• 個人情報の宝庫（写真、居場所、交友関係）
• 他のサービスのヒントが満載
• パスワードが簡単な人が多い

実際の被害例

Aさん（主婦・42歳）のInstagramが乗っ取られ、フォロワー全員に「緊急でお金が必要です。3万円貸してください」というメッセージが送信されました。信じた友人3名が実際に振り込み、**合計9万円の被害**が発生。Aさんのパスワードは「1234abcd」でした。

ネットショッピング

Amazon、楽天、Yahoo!ショッピング、メルカリなど、お金が直接動くサービスは特に危険です。

ショッピングサイトで起きる被害：

被害内容	発生率	平均被害額	復旧の難しさ
勝手に商品を購入	45%	5万円	やや困難
ポイント盗難	31%	2万円	困難
クレジットカード不正利用	18%	15万円	やや簡単
個人情報の売買	6%	不明	不可能

ネットバンキング

オンラインバンキングは最も深刻な被害につながります。

段階的な攻撃：

1. まずメールアドレスとパスワードを突破
2. 次に秘密の質問を推測（SNSから情報収集）
3. 最後にワンタイムパスワードを回避（後述）

2024年のデータでは、ネットバンキングの不正送金被害は平均280万円に達しています。

会社のシステム

在宅勤務が増えた今、会社のセキュリティ対策も個人の責任になっています。

会社のアカウントが狙われる理由

個人より価値が高い情報にアクセスできるため。顧客リスト、製品情報、経理データなどは**闇市場で高額取引**されます。また、会社のメールアドレスからの連絡は信頼されやすく、取引先への詐欺にも使われます。平均被害額は**3,400万円**と個人の100倍以上です。

---

実際にどんな被害に遭うの？

お金を盗まれる

最も分かりやすい被害は金銭的損失です。

お金を盗まれるパターン：

手口	被害額の目安	気づくまでの時間	取り戻せる確率
銀行から不正送金	10～500万円	1～3日	30%
クレジットカード不正利用	5～50万円	1ヶ月（明細確認時）	70%
電子マネー購入	1～10万円	即日	5%
ポイント換金	1～5万円	1週間	0%
仮想通貨送金	全額	即時	0%

個人情報が流出する

お金以上に深刻なのが個人情報の流出です。一度流出した情報は取り戻せません。

流出する情報と悪用方法：

基本情報（氏名、住所、電話番号）

闇サイトで**1件100円**で売買されます。詐欺の名簿、架空請求、ストーカー行為などに悪用。一度流出すると、10年以上被害が続く可能性があります。

医療情報（病歴、処方薬）

保険金詐欺や脅迫に使われます。特に精神科の通院歴などは**差別や偏見**の対象となる恐れがあり、最も守るべき情報の一つです。

なりすまし被害

アカウント乗っ取りによるなりすましは、信用を失う深刻な被害です。

実際のなりすまし被害例：

Bさん（会社員・35歳）のケース：
1日目：FacebookとLINEが同時に乗っ取られる
2日目：友人100人に「事故で入院。至急10万円必要」と送信
3日目：会社の同僚5人が振り込み（計50万円）
4日目：本人が気づくも、信頼関係が崩壊
結果：金銭被害＋人間関係の破壊＋退職を余儀なくされる

アカウントを乗っ取られる

アカウント自体を完全に奪われるケースも増えています。

アカウント乗っ取りの段階：

段階	攻撃者の行動	あなたへの影響	対処の可否
第1段階	パスワード突破	ログインできない	可能
第2段階	メールアドレス変更	パスワードリセット不可	困難
第3段階	電話番号変更	本人確認不可	極めて困難
第4段階	アカウント売却	永久に復旧不可	不可能

特に、長年使っているアカウントほど被害は深刻です。思い出の写真、メッセージ履歴、友達リストすべてを失います。

---

狙われやすい人の特徴

簡単なパスワードを使っている

最も狙われやすいのは、簡単なパスワードを使っている人です。

危険なパスワードランキング（2024年版）：

順位	パスワード	使用者数（推定）	破られる時間
1位	123456	450万人	1秒未満
2位	password	380万人	1秒未満
3位	123456789	320万人	1秒未満
4位	12345678	290万人	1秒未満
5位	1234567890	250万人	1秒未満
6位	password123	230万人	2秒
7位	111111	210万人	1秒未満
8位	qwerty	180万人	1秒未満
9位	abc123	160万人	1秒
10位	あなたのパスワード？	？	？

もしリストにあるパスワードを使っているなら、今すぐ変更してください。

同じパスワードを使い回している

パスワード使い回しの危険性

1つのサービスから漏れたパスワードで、**すべてのアカウントが危険**にさらされます。ドミノ倒しのように、Gmail→Amazon→銀行→会社と次々に乗っ取られます。調査では日本人の**73%が3個以下のパスワード**を使い回しており、平均して**12個のサービスで同じパスワード**を使用しています。

個人情報をパスワードにしている

誕生日、名前、電話番号など、推測しやすい情報をパスワードにしていませんか？

推測されやすいパスワードの例：

種類	悪い例	なぜ危険か	推測時間
誕生日	19900815	SNSで公開されている	5分
名前	tanaka123	簡単に調べられる	10分
電話番号	09012345678	名刺に書いてある	即座
ペット名	pochi2020	SNSに投稿している	30分
好きな言葉	love1234	ありきたり	1分

長期間パスワードを変えていない

「5年以上同じパスワード」という人は特に危険です。

パスワードの危険度チェック：

• [ ] 3年以上変更していない → 危険度：高
• [ ] どこかで情報漏洩があったが変えていない → 危険度：極高
• [ ] 同じパスワードを10個以上のサービスで使用 → 危険度：極高
• [ ] パスワードを忘れたことがない（単純だから） → 危険度：極高

---

今すぐできる3つの対策

強いパスワードの作り方

パスワード管理の基本として、長くて覚えやすいパスワードを作りましょう。

簡単で強力なパスワードの作り方：

方法1：好きな歌の歌詞を使う

例：「さくらさくらきょうもあしたもさくらかな」
→ 「SakuraSakura2025KyomoAshitamo!」
これなら覚えやすくて、破るのに1000年かかります！

方法2：短い文章を作る

例：「私は毎朝6時に起きてコーヒーを飲む」
→ 「Watashi6jiCoffee2025!」
意味があるから覚えやすく、でも他人には推測不可能！

パスワードの強さ比較：

パスワード例	長さ	破られる時間	覚えやすさ	おすすめ度
password	8文字	1秒	◎	✕
P@ssw0rd!	9文字	3日	△	△
MyDogPochi2025	14文字	100年	◎	○
ILoveSushi&Ramen2025!	22文字	10万年	◎	◎

二段階認証を設定する

二段階認証は、パスワードの他に「もう一つの鍵」を使う方法です。

二段階認証のイメージ

家に入るとき、玄関の鍵だけでなく、インターホンで「合言葉」も必要だと想像してください。泥棒が鍵を複製しても、合言葉を知らなければ入れません。二段階認証も同じで、パスワードを盗まれても、**スマホに送られるコード**がなければログインできません。

主要サービスの二段階認証設定方法：

サービス	設定場所	方法	所要時間
Google	アカウント設定→セキュリティ	SMS or アプリ	3分
Apple	設定→サインインとセキュリティ	SMS必須	5分
Amazon	アカウント→ログインとセキュリティ	SMS or アプリ	3分
LINE	設定→アカウント	SMS必須	2分
銀行	各行のセキュリティ設定	専用アプリ	10分

たった5分の設定で99.9%の攻撃を防げます！

パスワード管理アプリを使う

覚えきれないパスワードは管理アプリに任せましょう。

おすすめパスワード管理アプリ：

アプリ名	料金	特徴	こんな人向け
Bitwarden	無料	完全無料で基本機能充実	まず試したい人
1Password	月400円	使いやすさNo.1	家族で共有したい人
Google/Apple	無料	スマホに最初から入っている	簡単に始めたい人
まずはメモ帳	無料	紙とペン	デジタルが苦手な人

パスワード管理アプリの使い方：

1. アプリをインストール（3分）
2. マスターパスワード1つだけ覚える
3. 他のパスワードは全部アプリが記憶
4. ログイン時は自動入力

これで100個のパスワードも楽々管理できます！

---

やってはいけないパスワード管理

付箋でモニターに貼る

オフィスでよく見る光景ですが、最も危険な管理方法です。

なぜ付箋が危険なのか：

• 誰でも見える（清掃員、来客、同僚）
• 写真を撮られる（スマホで一瞬）
• 風で飛んでいく（そして拾われる）
• 「パスワード」と書いてあるのと同じ

実際にあった被害

C社の経理担当者が、銀行のパスワードを付箋でモニターに貼っていました。ある日、清掃員として入った犯罪者がスマホで撮影。後日**800万円が不正送金**されました。防犯カメラで撮影の瞬間は映っていましたが、犯人は既に国外逃亡していました。

メモ帳に保存する

パソコンの「メモ帳」にパスワード一覧を作っていませんか？

デジタルメモ帳の危険性：

保存方法	危険度	漏洩リスク	よくある被害
デスクトップに「パスワード.txt」	極高	100%	即座に盗まれる
マイドキュメントに保存	高	80%	ウイルスで流出
隠しファイルにする	高	70%	簡単に発見される
USBメモリに保存	高	90%	紛失・盗難
暗号化して保存	中	30%	それでも危険

メールで自分に送る

「忘れないように」と自分宛てにメールしていませんか？

メールが危険な理由：

1. メールは暗号化されていない（ハガキと同じ）
2. 送信中に盗み見される可能性
3. メールアカウントが乗っ取られたら全滅
4. 誤送信のリスク（宛先間違い）
5. メールサーバーに永久に残る

ブラウザに覚えさせるだけ

ChromeやSafariの「パスワード保存」だけでは不十分です。

ブラウザ保存の落とし穴

確かに便利ですが、パソコンを他人に貸したとき、修理に出したとき、ウイルス感染したとき、すべてのパスワードが丸見えになります。また、**マスターパスワードを設定していない人が92%**もいるため、誰でも保存されたパスワードを見ることができます。

より安全な管理方法：

方法	安全度	利便性	推奨対象
紙のノート（金庫保管）	○	△	高齢者
パスワード管理アプリ	◎	◎	一般的
ブラウザ＋マスターパスワード	△	○	最低限
暗記のみ	◎	✕	非現実的

---

被害に遭ったかもと思ったら

まず確認すること

「何かおかしい」と感じたら、すぐに確認しましょう。

被害チェックリスト：

• [ ] 身に覚えのないログイン通知が来た
• [ ] パスワードでログインできない
• [ ] 知らない買い物の履歴がある
• [ ] 友達から「変なメッセージが来た」と言われた
• [ ] 銀行残高が減っている
• [ ] クレジットカードに不明な請求
• [ ] メールの送信済みに知らないメールがある

1つでも該当したら、すぐに対処が必要です！

すぐにやるべきこと

被害に気づいたら時間との勝負です。

緊急対応の優先順位：

優先度	対応内容	所要時間	理由
1位	パスワード変更	5分	これ以上の被害を防ぐ
2位	銀行・カード会社に連絡	10分	金銭被害を止める
3位	二段階認証を設定	10分	再発防止
4位	友人・知人に連絡	30分	二次被害防止
5位	警察に相談	60分	被害届・証拠保全

相談窓口の連絡先

一人で悩まず、専門家に相談しましょう。すべて無料です。

主な相談窓口：

警察サイバー犯罪相談（#9110）

24時間対応。最寄りの警察のサイバー犯罪対策課につながります。被害届の出し方、証拠保全の方法をアドバイスしてくれます。**緊急時は110番**でも対応可能です。

消費生活センター（188）

「いやや（188）」で覚えましょう。ネットショッピングのトラブル、架空請求、返金交渉の相談ができます。平日9時～17時対応。

IPA情報セキュリティ安心相談窓口（03-5978-7509）

ウイルス感染、不正アクセス、[フィッシング詐欺](/security/scams/phishing/)などの技術的な相談ができます。平日10時～12時、13時30分～17時。

被害を最小限にする方法

被害が発生しても、適切な対応で最小限に抑えられます。

被害額を減らすテクニック：

対策	効果	実施難易度	コスト
クレジットカード利用停止	被害額0円に	簡単（電話1本）	無料
口座凍結	送金を阻止	簡単（窓口訪問）	無料
24時間以内の対応	被害を80%削減	-	-
SNSで注意喚起	友人の被害防止	簡単	無料
パスワード全変更	連鎖被害防止	面倒だが重要	無料

重要： 犯罪者は「最初の24時間が勝負」と考えています。早く動けば動くほど、被害は小さくなります。

---

よくある質問と誤解

パスワードは定期的に変えるべき？

Q: パスワードは3ヶ月ごとに変更すべきと聞きましたが本当ですか？

A: これは**古い常識**です。最新の研究では、定期的な変更は逆効果とされています。理由は、頻繁に変更すると「Password1→Password2→Password3」のような単純な変更になりがちだから。それより、**強力なパスワードを作って、漏洩したときだけ変更**する方が安全です。ただし、会社の規則で決まっている場合は従ってください。

英数字記号を混ぜれば安全？

Q: 大文字小文字、数字、記号を全部入れれば安全ですか？

A: 必ずしもそうではありません。「P@ssw0rd!」は全部入っていますが、**1秒で破られます**。それより「わたしのすきなたべものはカレーライス」の方が100万倍安全です。複雑さより**長さが重要**。12文字以上、できれば16文字以上にしましょう。日本語も使えるサービスなら積極的に使いましょう。

長ければ長いほど良い？

Q: パスワードは長ければ長いほど良いのですか？

A: 基本的にはその通りですが、**実用性も大切**です。100文字のパスワードは確かに安全ですが、入力が大変で現実的ではありません。おすすめは**16～24文字**。これなら十分安全で、かつ覚えられる長さです。「好きな歌詞や格言＋年号＋記号」の組み合わせがおすすめです。

生体認証なら安全？

Q: 指紋認証や顔認証なら絶対安全ですよね？

A: 生体認証は便利ですが、**完璧ではありません**。寝ている間に指を使われる、写真で顔認証を突破される、などの事例があります。また、一度盗まれた指紋は変更できません。最も安全なのは「生体認証＋パスワード」の組み合わせです。特に銀行アプリなど重要なものは、両方設定しましょう。

その他のよくある誤解：

誤解	真実	対策
「私は狙われない」	無差別攻撃が主流	全員が対策必要
「Macは安全」	Macも狙われている	OSに関係なく対策
「会社が守ってくれる」	個人の責任も大きい	自分でも対策
「お金をかければ安全」	無料でも十分対策可能	まず無料対策から

---

まとめ：今日から始める安全対策

今すぐやること（5分でできる！）

最優先で実施する3つ：

1. 最も大切なアカウントのパスワードを変更

   • まずは「メールアドレス」（すべての基点になるから）
   • 次に「銀行・クレジットカード」
   • 16文字以上の強力なものに

2. 二段階認証を設定

   • Google、Apple、Amazonから始める
   • スマホがあれば5分で完了
   • これだけで99.9%防御

3. パスワード管理方法を決める

   • 管理アプリ（Bitwarden無料版でOK）
   • または紙のノート（鍵付き引き出しに）
   • 付箋やメモ帳は今すぐ処分！

1週間かけてやること

じっくり取り組む対策：

日程	やること	時間	効果
1日目	全パスワードをリストアップ	30分	現状把握
2日目	重要度で分類（高・中・低）	15分	優先順位決定
3日目	高重要度のパスワード変更	30分	リスク60%減
4日目	使っていないアカウント削除	20分	攻撃面削減
5日目	パスワード管理アプリ導入	30分	継続的管理
6日目	家族にも設定を教える	60分	家族の安全
7日目	定期チェックの習慣化	10分	完璧！

継続的にやること

習慣にする3つのこと：

1. 月1回：不審なログインがないかチェック

   • 各サービスのログイン履歴を確認
   • 知らない場所や時間からのアクセスは要注意

2. 新サービス登録時：必ず強力なパスワード＋二段階認証

   • 「後でやろう」は危険
   • 最初から安全に

3. 年1回：セキュリティ大掃除

   • 使わないアカウントは削除
   • パスワード管理アプリの整理
   • 家族の設定も確認

完璧を求めない

最後に大切なことをお伝えします。完璧を求める必要はありません。

段階的な改善でOK

すべてを一度にやろうとすると挫折します。まず「メールアドレス」と「銀行」だけでも守れれば、被害の80%は防げます。「password123」を使っているなら、まず「MyFavoriteRamen2025!」に変えるだけでも大進歩。小さな一歩から始めて、徐々に安全性を高めていきましょう。

セキュリティは保険と同じです。事故が起きてから後悔しても遅いのです。でも、基本的な対策をするだけで、ほとんどの攻撃は防げます。

今日から、あなたもデジタル護身術を身につけて、安心してインターネットを楽しみましょう！

---

よくある質問（FAQ）

Q: パスワード管理アプリ自体がハッキングされたらどうなりますか？

A: 良い質問です！確かにリスクはゼロではありませんが、有名なアプリ（1Password、Bitwardenなど）は「ゼロ知識設計」といって、運営会社でもパスワードを見ることができない仕組みです。あなたのマスターパスワードがなければ、誰も（ハッカーも運営会社も）中身を見られません。それでも心配なら、最重要パスワード（銀行など）だけは別管理するという方法もあります。何より、同じパスワードを使い回すよりは100倍安全です。

Q: 二段階認証のSMSは安全ですか？SIMスワップという攻撃があると聞きました。

A: 確かにSMS（ショートメッセージ）には弱点があり、高度な攻撃者はSIMスワップ（電話番号を乗っ取る）という手法を使うことがあります。しかし、これは非常に高度な攻撃で、一般の人が遭遇する確率は0.01%以下です。SMSでも設定しないより1000倍安全です。より安全を求めるなら、「Google Authenticator」などのアプリ型二段階認証を使いましょう。でも、まずはSMSでも良いので設定することが大切です。

Q: 高齢の親がパスワードを覚えられません。どうしたら良いですか？

A: 高齢者向けの現実的な方法をお教えします。(1)まず、本当に必要なサービスを3～5個に絞る、(2)長いけど覚えやすい日本語パスワードを1つ作る（例：「朝の散歩が大好き2025年」）、(3)サービスごとに最後だけ変える（銀行は「朝の散歩が大好き2025年ギ」）、(4)ヒントだけを紙に書いて金庫や仏壇に保管。完璧でなくても、「123456」よりはるかに安全です。デジタルが苦手でも大丈夫、できることから始めましょう。

---

【重要なお知らせ】

• 本記事は2025年1月時点の情報に基づいています
• セキュリティ対策は日々進化しているため、定期的に最新情報を確認してください
• 被害に遭った場合は、一人で悩まず専門機関に相談してください（すべて無料）
• 完璧を求めず、できることから少しずつ始めることが大切です

• 家族や友人にも、この知識を共有して、みんなで安全なデジタル社会を作りましょう
  

  メインページ

  総当たり攻撃（ブルートフォース攻撃）とは

  技術解説

  • 攻撃の仕組みと流れ
  • リバース型攻撃
  • 類似攻撃との比較

  対策・防御

  • WAF防御ガイド
  • 技術実装
  • 多要素認証
  • パスワード管理2025

  対象別ガイド

  • 初心者向け入門
  • 中小企業向け対策

  最新情報

  • 2024-2025年事例
  • ランサムウェアとの関係