ブルートフォース攻撃とは？仕組みと対策を解説

ブルートフォース攻撃とは、ログイン画面などに対して多数のパスワード候補を繰り返し試し、正しい認証情報を当てようとする攻撃です。「総当たり攻撃」とも呼ばれます。

WordPressの管理画面、VPSのSSH、メール、会員サイトなど、IDとパスワードでログインする仕組みは対象になり得ます。対策では、長く固有のパスワードだけでなく、二段階認証、ログイン試行回数制限、WAF・CDN、監視を組み合わせることが重要です。

ブルートフォース攻撃とは？

ブルートフォース（Brute Force）とは、可能性のある認証情報を大量に試して正解を探す方法です。

Webサイトの不正ログインでは、ユーザー名を固定し、パスワード候補を自動的に次々と試す形が代表的です。

ブルートフォース攻撃で何が起こる？

攻撃が成功すると、アカウントの権限に応じてさまざまな被害が起こります。

WordPress公式も、管理者アカウントを奪われると悪意あるスクリプトを設置され、サイトやサーバー全体へ影響する可能性があると説明しています。

攻撃に失敗しても負荷がかかる

ブルートフォース攻撃は、ログインに成功しなくても大量の認証処理を発生させます。

WordPressではPHPやデータベース処理が発生するため、攻撃量によってはCPU・メモリ負荷が上がり、通常ユーザーの表示が遅くなる場合があります。

ブルートフォース攻撃とパスワードリスト攻撃の違い

項目	ブルートフォース	パスワードリスト攻撃
主な方法	多数の候補を試す	漏えい済みID・パスワードを試す
狙い	推測で正解を当てる	使い回しを突く
弱点	短い・単純なパスワード	同じ認証情報の使い回し
主な対策	長いパスワード・レート制限	固有パスワード・MFA

OWASPは、ブルートフォースを「1つのアカウントに対し複数のパスワードを試す攻撃」、Credential Stuffingを「他サービスから漏えいしたID・パスワードの組み合わせを試す攻撃」と区別しています。

辞書攻撃との違い

辞書攻撃は、よく使われる単語・パスワード候補のリストを使って試行する方法です。

広い意味ではブルートフォース系の攻撃として扱われますが、すべての文字組み合わせを順番に試す純粋な総当たりより、現実に使われやすい候補を優先する点が違います。

そのため、単純に記号を1文字加えただけの推測しやすいパスワードでは十分とは言えません。

WordPressはなぜ狙われやすい？

WordPressは世界中で広く使われているため、ログイン画面を自動的に探すBotの対象になりやすい環境です。

WordPress公式も、ブルートフォース攻撃はWordPress固有ではないものの、普及率の高さから標的になりやすいと説明しています。

対策1．長く固有のパスワードを使う

最も基本的な対策は、推測しにくく、他サービスと使い回していないパスワードを使うことです。

WordPress公式も、強力で固有なパスワードとパスワードマネージャーの利用を推奨しています。

対策2．二段階認証・多要素認証を使う

パスワードが突破されても、追加の認証が必要な状態にすると不正ログインのリスクを大きく下げられます。

OWASPは、多要素認証をパスワード関連攻撃に対する非常に重要な防御策として推奨しています。

WordPress標準コアには二段階認証機能がないため、対応プラグイン、IDプロバイダー、ホスティング側の認証機能などを利用します。

対策3．ログイン試行回数を制限する

ブルートフォース攻撃は「何度も試せること」を利用するため、失敗回数に応じて試行を遅らせるレート制限が有効です。

OWASPはログインスロットリングを主要対策として挙げ、NISTもオンライン推測攻撃への耐性として失敗試行のレート制限を求めています。

対策4．CAPTCHAを補助的に使う

CAPTCHAは、Botによる自動ログイン試行を増やしにくくする補助策です。

ただしOWASPは、CAPTCHAだけで完全に攻撃を防げるわけではなく、防御を重ねるための補助策として扱うよう案内しています。

対策5．WAF・CDNでBotを手前で止める

WordPress公式は、ログイン試行のレート制限をWAF・CDN・Webサーバーなど、できるだけサーバー処理の手前で行うことを推奨しています。

WordPress本体までリクエストが届く前に止められれば、PHPやデータベースの負荷を減らしやすくなります。

対策6．ログインURL変更だけに頼らない

WordPressのログインURLを変更すると、自動Botのノイズを減らせる場合があります。

しかし、WordPress公式もログインURLを隠す方法は単独の防御策にしないよう案内しています。

対策7．不要なアカウントを削除する

使っていない管理者アカウントが残っていると、攻撃対象を増やします。

各担当者に必要最低限の権限を与え、不要になったアカウントは無効化・削除します。

対策8．WordPressを最新状態に保つ

ブルートフォース攻撃自体はパスワード推測ですが、侵入後の被害拡大や別の脆弱性攻撃に備えるため、WordPress本体・テーマ・プラグインを更新します。

SSHのブルートフォース対策

VPSでSSHを公開している場合も、22番ポートなどへ自動ログイン試行が来ることがあります。

メールアカウントの対策

Webサイトだけでなく、SMTP・IMAP・Webメールなどの認証もブルートフォース対象になり得ます。

攻撃されているか確認する方法

大量のログイン失敗がある場合、サーバーログやセキュリティ機能のログを確認します。

見覚えのないログイン成功があったら？

攻撃成功の可能性がある場合は、単にIPをブロックするだけでは不十分です。

管理者権限を奪われた場合は、認証情報変更だけでなく、改ざんやマルウェア設置がないかまで確認します。

IP制限は有効？

管理者が決まった場所からしかログインしないサイトでは、管理画面やSSHを特定IPからだけ許可する方法が強力です。

IP制限は強力ですが、利用形態に合わないと正規管理者まで締め出すため、二段階認証などと使い分けます。

Basic認証を重ねる方法

管理画面の前段にBasic認証など別の認証層を追加する方法もあります。

WordPress公式のハードニングガイドでも、wp-admin周辺をサーバー側認証で保護する方法が紹介されています。

WAFだけで防げる？

WAFは有効な防御層ですが、単独で完全に防げるとは限りません。

ブルートフォース対策は、認証とBot対策を複数組み合わせるのが基本です。

どれか1つだけではなく、突破されても次の防御が残る多層防御にします。

共用レンタルサーバー利用者が最低限やること

会社サイトで追加したい対策

パスワードを強くするだけではなく、アカウント管理の運用まで整えることが重要です。

よくある間違った対策

教科書判定

FAQ

まとめ

次に読む