---
title: "リバースブルートフォース攻撃とは？固定するものの違いで見分ける認証攻撃【基本情報技術者試験】"
description: "リバースブルートフォース攻撃を「パスワードを固定して利用者IDを総当たりする攻撃」として整理し、FE試験でブルートフォース攻撃、パスワードリスト攻撃、ジョーアカウント攻撃と切り分ける判断軸を解説します。"
last_modified_at: "2026-07-09"
canonical_url: "https://stemtazoo.github.io/fe/reverse-brute-force/"
section: "fe"
---

## まず結論

リバースブルートフォース攻撃とは、**パスワードを1つ固定して、利用者IDを総当たりで試す認証攻撃**です。

基本情報技術者試験では、通常のブルートフォース攻撃との違いを、**何を固定して、何を総当たりするか**で切り分けると分かりやすいです。

```text
ID固定・パスワード総当たり
→ ブルートフォース攻撃

パスワード固定・ID総当たり
→ リバースブルートフォース攻撃
```

## 直感的な説明

通常のブルートフォース攻撃は、1つの利用者IDに対して、いろいろなパスワードを試します。

```text
user001 + password1
user001 + password2
user001 + password3
...
```

一方、リバースブルートフォース攻撃は逆です。

よく使われる弱いパスワードを1つ決めて、多くの利用者IDに対して試します。

```text
user001 + 123456
user002 + 123456
user003 + 123456
...
```

つまり、**パスワード側を固定し、ID側を変えていく**のがリバースブルートフォース攻撃です。

この「逆向き」のイメージを持つと、選択肢を切りやすくなります。

## 定義・仕組み

リバースブルートフォース攻撃は、認証を突破するための攻撃手法の一つです。

攻撃者は、よく使われるパスワードを1つ選び、そのパスワードで多数の利用者IDへのログインを試します。

| 攻撃 | 固定するもの | 変えるもの |
|---|---|---|
| ブルートフォース攻撃 | 利用者ID | パスワード |
| リバースブルートフォース攻撃 | パスワード | 利用者ID |
| パスワードリスト攻撃 | 入手済みのID・パスワード組 | 組み合わせリスト |
| ジョーアカウント攻撃 | 利用者IDと同じ文字列のパスワード | 対象ID |

リバースブルートフォース攻撃では、1つのIDに対する連続失敗回数が少なく見える場合があります。

そのため、単純に「同じIDで何回失敗したか」だけを見るアカウントロックでは、検知や防御が難しくなることがあります。

このテーマは、基本情報技術者試験の「情報セキュリティ」や「認証・アクセス制御」と関係する内容です。公式の出題範囲やシラバスは、[IPA：基本情報技術者試験](https://www.ipa.go.jp/shiken/kubun/fe.html) から確認できます。

## 科目Aでどう出る？

科目Aでは、リバースブルートフォース攻撃の説明を選ぶ問題や、似た認証攻撃との違いを問う問題が出やすいです。

判断するときは、次の2点を見ます。

```text
1. 利用者IDを固定しているか
2. パスワードを固定しているか
```

選択肢では、次のように切り分けます。

| 選択肢の表現 | 疑う攻撃 |
|---|---|
| 1つの利用者IDに対して、パスワードを次々に試す | ブルートフォース攻撃 |
| 1つのパスワードに対して、利用者IDを次々に試す | リバースブルートフォース攻撃 |
| 事前に入手したIDとパスワードの組を使う | パスワードリスト攻撃 |
| 利用者IDと同じ文字列をパスワードとして試す | ジョーアカウント攻撃 |

問題文に **パスワードを一つ選び**、**利用者IDを次々に試す** とあれば、リバースブルートフォース攻撃を疑います。

## 科目Bでどう使う？

科目Bでは、認証ログや不正ログインの事例を読むときに役立ちます。

例えば、次のようなログがあったとします。

```text
user001 / Password123 → 失敗
user002 / Password123 → 失敗
user003 / Password123 → 成功
user004 / Password123 → 失敗
```

この場合、パスワードが固定され、利用者IDが変わっています。

そのため、リバースブルートフォース攻撃の可能性を考えます。

科目Bで読むときは、次の順で整理するとよいです。

```text
1. 同じIDに対して失敗が集中しているか
2. 同じパスワードが多くのIDに試されているか
3. 事前に流出したID・パスワード組が使われているか
```

同じIDに攻撃が集中しているなら通常のブルートフォース寄りです。

同じパスワードを多くのIDに試しているなら、リバースブルートフォース寄りです。

## よくある誤解・混同

リバースブルートフォース攻撃でよくある誤解は、**総当たり攻撃なら全部同じだと思ってしまうこと**です。

| 誤解 | 正しい理解 |
|---|---|
| ブルートフォース攻撃とリバースブルートフォース攻撃は同じ | 固定するものが違う |
| IDを固定してパスワードを試すのがリバースブルートフォース | それは通常のブルートフォース攻撃 |
| 入手済みのID・パスワード組を試すのがリバースブルートフォース | それはパスワードリスト攻撃 |
| IDと同じ文字列をパスワードとして試すのがリバースブルートフォース | それはジョーアカウント攻撃 |
| アカウントロックがあれば必ず防げる | 多数のIDに少しずつ試すため、単純なロックだけでは見逃すことがある |

特に、通常のブルートフォース攻撃との違いは試験で迷いやすいです。

```text
ブルートフォース攻撃
→ IDを固定して、パスワードを総当たり

リバースブルートフォース攻撃
→ パスワードを固定して、IDを総当たり
```

「何を固定しているか」を見るだけで、かなり解きやすくなります。

## まとめ（試験直前用）

- リバースブルートフォース攻撃は、パスワードを固定して利用者IDを総当たりする攻撃
- ID固定なら通常のブルートフォース攻撃
- 入手済みのID・パスワード組を使うならパスワードリスト攻撃
- IDと同じ文字列をパスワードとして試すならジョーアカウント攻撃
- 判断ポイントは「何を固定して、何を変えているか」