ネットワークセキュリティにおける辞書攻撃とは？仕組み・事例・対策を徹底解説

はじめに

パスワードで保護されたシステムを狙う攻撃手法の中でも、古典的でありながら今なお大きな脅威となっているのが「辞書攻撃（ディクショナリアタック）」です。本記事では、辞書攻撃の仕組みや目的、具体的な事例、SQLサーバーへの応用例に加え、効果的な対策方法までをわかりやすく解説します。

辞書攻撃とは何か？

辞書攻撃とは、辞書に収録された単語を次々とパスワードとして入力することで、パスワード保護されたコンピュータシステム、ネットワーク、その他のITリソースへの不正アクセスを試みる攻撃手法です。また、暗号化されたデータを復号するために必要な鍵を探し出す目的でも使用されます。

辞書攻撃の目的

暗号解読の分野と同様に、辞書攻撃はブルートフォース攻撃（総当たり攻撃）の一種です。辞書に載っている単語や過去に使われたパスワードなど、ありそうな候補を数千から数百万件試すことで、復号鍵や認証パスワードを特定し、暗号や認証機構を破ることを狙います。

辞書攻撃の主な特徴

辞書攻撃の最大の特徴は、よく使われる単語やそのバリエーションを大量に試してパスワードを推測し、保護された情報へのアクセスを得ようとする点にあります。具体的には、頻出パスワードのリスト、人気のペットの名前、架空のキャラクター名、さらには文字通り辞書に収録されたすべての単語との照合が行われます。この「辞書との照合」こそが、攻撃名の由来です。

辞書攻撃の仕組み

辞書攻撃の理論は非常にシンプルです。ユーザーは長くランダムな文字列を記憶したくない、あるいは覚える時間がないため、既存の単語を選びがちです。しかもその多くは、インターネット上ですでに入手可能な言語に由来しています。攻撃者はこの性質を突き、辞書や単語リストをあらかじめハッシュ化しておき、実際のパスワードハッシュと照合することで正しいパスワードを割り出します。

辞書攻撃の具体例

辞書攻撃では、攻撃者は人間がパスワードとして使いそうな多数の候補を組み合わせて試し、暗号文の鍵を推測しようとします。たとえば、Bobが自分のハードドライブを「hunter2」というパスワードで暗号化していた場合を考えてみましょう。このような安易で有名なパスワードは、攻撃者の辞書リストに必ず含まれているため、短時間で突破されてしまう可能性が高いのです。

辞書攻撃のメリット（攻撃者視点）

辞書攻撃はシンプルなパスワード解析手法であり、辞書内の単語を自動的にパスワードとして入力することで、パスワード保護されたサーバーのセキュリティを突破できます。実装が簡単で、無関係な組み合わせを試す無駄がなく高速であること、そして時間を節約できることが攻撃者にとっての大きな魅力となっています。

SQLサーバーに対するブルートフォース攻撃の実態

Guardicore Labsの調査によると、ハッカーは脆弱なMicrosoft SQL（MSSQL）サーバーに対して日々ブルートフォース攻撃を仕掛け、バックドアを設置しています。これらのバックドアは、仮想通貨マイニングツールやリモートアクセス型トロイの木馬（RAT）をインストールするものであり、米国の医療分野のサーバーも標的になっています。企業システムを守るためには、データベースサーバーへの不正ログイン対策が不可欠です。

辞書攻撃は常にブルートフォース攻撃より高速か？

必ずしもそうとは限りません。ブルートフォース攻撃と比較すると、パスワードの検証が高速な形式の場合、辞書攻撃の方がコストが高くなることがあります。辞書からパスワードを読み込んで書き出す処理には相応の時間がかかり、そのオーバーヘッドがパスワード検証時間を上回るケースもあるためです。ただし、実際のパスワードが辞書に含まれていれば、全組み合わせを試す純粋な総当たりよりもはるかに早く成功します。

パスワードセキュリティで辞書攻撃を防ぐには？

以下の対策を組み合わせることで、辞書攻撃への耐性を大幅に高められます。

• レート制限の導入：パスワード試行の受け付け回数に制限をかけ、推測に時間とリソースを要するようにします。
• CAPTCHAの活用：ボットによる自動化されたログイン試行を防止します。
• パスワードの適切な保護：ソルト付きハッシュ化や暗号化を行い、万一流出しても悪用されにくい状態にします。
• 脆弱なパスワードの禁止：辞書に載っているような一般的な単語や、使い回しのパスワードの使用を制限・検出します。

まとめ

辞書攻撃は「人は覚えやすい単語をパスワードに選ぶ」という性質を突いた、シンプルながら深刻な脅威です。レート制限、CAPTCHA、強力なハッシュ化、パスワードポリシーの徹底といった多層的な対策を講じることで、被害リスクを大きく低減できます。今日からできる対策を実践し、システムとデータを守りましょう。