総当たり攻撃

総当たり攻撃とは、連続してログインを試みて、システムへのアクセスを得ようとする攻撃です。手動で実行することも、自動化されたスクリプトを使って実行することもできます。いずれの場合も、総当たり攻撃では、有効なログイン情報を見つけるために、さまざまなユーザー名とパスワードの組み合わせを試します。

総当たり攻撃は性質上単純ですが、実装は複雑になることがよくあります。ほとんどのサーバーは、複数回ログインに失敗するとユーザーまたはIPアドレスをブロックするため、ハッカーは1回の総当たり攻撃を実行するために複数のシステムを使うことがあります。攻撃によっては、分散型サービス拒否DDoS攻撃と同じように、数百台、あるいは数千台のデバイスを使うことがあります。

総当たり攻撃で正しいログイン情報を推測できる可能性は低いものの、オンラインアカウントが侵害される最も一般的な方法の1つです。十分な回数を試せば、理論上はどのようなログイン情報でも見つけられる可能性があります。ただし、短くてよく使われるパスワードが最も脆弱です。

総当たり攻撃から保護する方法

オンラインアカウントを総当たり攻撃から保護する主な方法は、1）強力なパスワードを選ぶこと、2）二要素認証を使用することの2つです。

1. 強力なパスワードを選ぶ

オンラインアカウントを安全にするための基本的な手順は、強力なパスワードを選ぶことです。これは、次の条件を満たすパスワードを選ぶことを意味します。

1. 長い – 少なくとも8文字、できれば12文字以上。
2. 特殊文字を含む – 数字や記号に加えて、英小文字と英大文字も含む。
3. 個人を特定できる情報を使っていない – 特別な日付や親しい人の名前を使うと、誰かが手動でアカウントをハッキングしやすくなります。

2. 二要素認証を使用する

一部のサービスでは、2台のデバイスによる認証を必要とする二要素認証を有効にできます。たとえば、コンピューターでユーザー名とパスワードを入力した後、アカウントに登録されている電話番号にテキストメッセージで送られたコードの入力を求められることがあります。二要素認証を使用すると、ハッカーがユーザー名とパスワードを知っていても、アカウントに正常にログインすることはできません。