最終更新日：2026年7月9日
fe fe-technology security
まず結論
リバースブルートフォース攻撃とは、パスワードを1つ固定して、利用者IDを総当たりで試す認証攻撃です。
基本情報技術者試験では、通常のブルートフォース攻撃との違いを、何を固定して、何を総当たりするかで切り分けると分かりやすいです。
ID固定・パスワード総当たり
→ ブルートフォース攻撃
パスワード固定・ID総当たり
→ リバースブルートフォース攻撃
直感的な説明
通常のブルートフォース攻撃は、1つの利用者IDに対して、いろいろなパスワードを試します。
user001 + password1
user001 + password2
user001 + password3
...
一方、リバースブルートフォース攻撃は逆です。
よく使われる弱いパスワードを1つ決めて、多くの利用者IDに対して試します。
user001 + 123456
user002 + 123456
user003 + 123456
...
つまり、パスワード側を固定し、ID側を変えていくのがリバースブルートフォース攻撃です。
この「逆向き」のイメージを持つと、選択肢を切りやすくなります。
定義・仕組み
リバースブルートフォース攻撃は、認証を突破するための攻撃手法の一つです。
攻撃者は、よく使われるパスワードを1つ選び、そのパスワードで多数の利用者IDへのログインを試します。
| 攻撃 | 固定するもの | 変えるもの |
|---|---|---|
| ブルートフォース攻撃 | 利用者ID | パスワード |
| リバースブルートフォース攻撃 | パスワード | 利用者ID |
| パスワードリスト攻撃 | 入手済みのID・パスワード組 | 組み合わせリスト |
| ジョーアカウント攻撃 | 利用者IDと同じ文字列のパスワード | 対象ID |
リバースブルートフォース攻撃では、1つのIDに対する連続失敗回数が少なく見える場合があります。
そのため、単純に「同じIDで何回失敗したか」だけを見るアカウントロックでは、検知や防御が難しくなることがあります。
このテーマは、基本情報技術者試験の「情報セキュリティ」や「認証・アクセス制御」と関係する内容です。公式の出題範囲やシラバスは、IPA：基本情報技術者試験 から確認できます。
科目Aでどう出る？
科目Aでは、リバースブルートフォース攻撃の説明を選ぶ問題や、似た認証攻撃との違いを問う問題が出やすいです。
判断するときは、次の2点を見ます。
1. 利用者IDを固定しているか
2. パスワードを固定しているか
選択肢では、次のように切り分けます。
| 選択肢の表現 | 疑う攻撃 |
|---|---|
| 1つの利用者IDに対して、パスワードを次々に試す | ブルートフォース攻撃 |
| 1つのパスワードに対して、利用者IDを次々に試す | リバースブルートフォース攻撃 |
| 事前に入手したIDとパスワードの組を使う | パスワードリスト攻撃 |
| 利用者IDと同じ文字列をパスワードとして試す | ジョーアカウント攻撃 |
問題文に パスワードを一つ選び、利用者IDを次々に試す とあれば、リバースブルートフォース攻撃を疑います。
科目Bでどう使う？
科目Bでは、認証ログや不正ログインの事例を読むときに役立ちます。
例えば、次のようなログがあったとします。
user001 / Password123 → 失敗
user002 / Password123 → 失敗
user003 / Password123 → 成功
user004 / Password123 → 失敗
この場合、パスワードが固定され、利用者IDが変わっています。
そのため、リバースブルートフォース攻撃の可能性を考えます。
科目Bで読むときは、次の順で整理するとよいです。
1. 同じIDに対して失敗が集中しているか
2. 同じパスワードが多くのIDに試されているか
3. 事前に流出したID・パスワード組が使われているか
同じIDに攻撃が集中しているなら通常のブルートフォース寄りです。
同じパスワードを多くのIDに試しているなら、リバースブルートフォース寄りです。
よくある誤解・混同
リバースブルートフォース攻撃でよくある誤解は、総当たり攻撃なら全部同じだと思ってしまうことです。
| 誤解 | 正しい理解 |
|---|---|
| ブルートフォース攻撃とリバースブルートフォース攻撃は同じ | 固定するものが違う |
| IDを固定してパスワードを試すのがリバースブルートフォース | それは通常のブルートフォース攻撃 |
| 入手済みのID・パスワード組を試すのがリバースブルートフォース | それはパスワードリスト攻撃 |
| IDと同じ文字列をパスワードとして試すのがリバースブルートフォース | それはジョーアカウント攻撃 |
| アカウントロックがあれば必ず防げる | 多数のIDに少しずつ試すため、単純なロックだけでは見逃すことがある |
特に、通常のブルートフォース攻撃との違いは試験で迷いやすいです。
ブルートフォース攻撃
→ IDを固定して、パスワードを総当たり
リバースブルートフォース攻撃
→ パスワードを固定して、IDを総当たり
「何を固定しているか」を見るだけで、かなり解きやすくなります。
まとめ（試験直前用）
- リバースブルートフォース攻撃は、パスワードを固定して利用者IDを総当たりする攻撃
- ID固定なら通常のブルートフォース攻撃
- 入手済みのID・パスワード組を使うならパスワードリスト攻撃
- IDと同じ文字列をパスワードとして試すならジョーアカウント攻撃
- 判断ポイントは「何を固定して、何を変えているか」