ブルートフォース攻撃とは？CMSのセキュリティを高める必須チェックリスト

ブルートフォース攻撃は日本語で「総当たり攻撃」とも呼ばれ、ログイン画面などで考えられるすべての文字列の組み合わせを順番に試行し、パスワードを強引に解読する手法です。
特別な脆弱性を突くわけではなく、単純に正解の組み合わせが当たるまでログインを試み続けるため、対策を怠っているシステムであれば確実に突破されてしまいます。
WordPressなどのオープンソース型CMSがこの攻撃の標的にされやすい理由は、管理画面のログインURLがデフォルトで広く公開されており、攻撃者が侵入経路を特定しやすい構造にあるためです。さらに、多くのCMSでは「admin」といった推測しやすい管理者アカウント名が初期設定のまま放置されているケースが多く、攻撃のハードルを大きく下げています。

パスワードを標的にしたサイバー攻撃には、総当たり以外にもいくつかのバリエーションが存在します。適切な防御策を講じるためには、それぞれの攻撃がどのようなアプローチで行われるかを理解しておくことが不可欠です。

辞書攻撃（ディクショナリーアタック）は、ランダムな文字列を試すのではなく、実在する英単語や人名、地名、あるいは「password123」のように頻繁に使われる文字列のリストを用いてログインを試みる手法です。
人間が覚えやすいように設定しがちなパスワードは、この辞書データに合致する確率が非常に高く、ブルートフォース攻撃よりもはるかに短い時間で突破される危険性があります。

パスワードリスト攻撃は、他のWebサービスなどから過去に流出したIDとパスワードの組み合わせ（リスト）を流用し、別のサービスに対してログインを試みる手法です。
ユーザーが複数のサービスで同一のパスワードを使い回している場合、どれか一つでも情報が漏洩すると、他のすべての管理画面へ容易に不正ログインを許すことになり、被害が連鎖的に拡大します。

リバースブルートフォース攻撃は、従来の総当たり攻撃とは逆のアプローチをとる手法です。
「123456」や「password」といった脆弱なパスワードを1つ固定し、不特定多数のユーザーIDやメールアドレスに対してログインを順番に試行します。同一アカウントに対して連続で試行を行わないため、回数制限によるアカウントロック（ロックアウト機能）や不正検知をすり抜けやすいという非常に厄介な特徴を持っています。

不正ログインを許してしまったCMSは、企業の重大なセキュリティインシデントへと発展します。過去の事例を交え、実際に発生する被害の深刻さを見ていきましょう。

管理者権限が奪取されると、Webサイトの表示内容やコンテンツが意図しない形で書き換えられる改ざん被害に直面します。
2025年7月には、スポーツ用品メーカー企業において、運用中のCMSがブルートフォース攻撃を受け、パスワードを特定されて不正アクセスを許す事態が発生しました。また、2025年8月には大学が運営するサイトで、CMSの脆弱性を突いた不正アクセスによる改ざん被害が起きています。
改ざんされたサイトは、訪問者を詐欺サイトへ誘導したり、SEOの評価を急低下させたりする深刻な二次被害を引き起こします。

CMSのデータベースには、会員の個人情報や顧客データ、企業の未公開の機密情報などが格納されていることが多く、不正アクセスによってこれらが根こそぎ外部へ漏洩するリスクがあります。
情報漏洩がひとたび発生すれば、企業の社会的信用は一瞬にして失墜し、顧客への謝罪や事後対応、法的責任の追及など、巨額のコストとリソースを割くことを余儀なくされます。

乗っ取られたサーバーは、攻撃者によって別のサイバー犯罪の「踏み台」として悪用されます。
サイトの訪問者にマルウェアを感染させるプログラムを埋め込まれたり、サーバー内部から大量のスパムメールを配信させられたりします。これにより、自社サイトがセキュリティベンダーや検索エンジンによって「危険なサイト」とみなされ、ブラウザでブロック対象となってアクセスが完全に途絶える原因になります。

セキュリティインシデントによってサイトが一時停止に追い込まれると、サービス提供や製品販売がストップし、直接的な売上減少などの機会損失につながります。
さらに、データセンター内のサーバーがランサムウェアを含む大規模なサイバー攻撃を受け、システム障害が発生した出版大手の事例のように、インシデントによる事業の全面停止は、復旧作業のみならず取引先やユーザーとの契約上の信頼を著しく毀損します。

ブルートフォース攻撃を防ぐためには、一つの対策に依存するのではなく、複数の防御策を講じる「多層防御」の構築が極めて重要です。ここでは、実務の負担を最小限に抑えつつ導入できる対策を難易度別に紹介します。

システムの変更を必要とせず、設定の工夫やユーザー側の心がけだけで即座に実施できる基本的なセキュリティ対策です。

パスワードは最低でも12文字以上とし、英大文字・小文字、数字、記号を混在させたランダムな文字列を設定します。
英小文字のみの8桁は約2千億通りですが、10桁に増やすだけで約141兆通りにまで跳ね上がり、解読にかかる時間を天文学的に延ばすことができます。

CMSの構築時にデフォルトで設定されやすい「admin」や「test」、「administrator」といったアカウント名は、攻撃者が真っ先に試すため極めて危険です。
アカウントの変更機能、または新規アカウント作成により、推測しにくい独自のユーザー名に変更してください。

複数の社内ツールや外部サービスで同じパスワードを流用していると、他社サービスから漏洩した認証情報をもとに、自社のCMSへ容易にログインされてしまいます。
各ログイン情報には、それぞれ完全に独立したパスワードを用意してください。

CMSの基本機能やプラグインを活用し、不正なログイン試行そのものをシステム的にブロックする仕組みを導入します。

短時間のうちに一定回数連続でログインを失敗した場合、そのアカウントやIPアドレスからのアクセスを一時的に遮断する機能を有効化します。これにより、数万回もの試行を繰り返すブルートフォース攻撃の実行を実質的に不可能にします。

IDとパスワードの入力に加え、スマートフォンアプリが生成する一時的なワンタイムパスワードや、SMSに送信される確認コードの入力を必須にします。
万が一パスワードが解読されても、第二の要素が揃わなければログインを完了できないため、極めて強固な防御壁となります。

ログイン画面に「私はロボットではありません」といったチェックを求める仕組みを組み込みます。Googleが提供する「reCAPTCHA v3」であれば、ユーザーに手間な画像選択などを求めることなく、Webサイト上の挙動をスコア化して自動的にボットを検知・排除できるため、運用の利便性を損ないません。

WordPressのログインURLのように、CMS特有の既定のログインURLを全く別のランダムな文字列に変更します。
ログインページの場所そのものを隠蔽することで、攻撃者が機械的に仕掛けてくる攻撃のターゲットから外れることができます。

サーバーやホスティング環境、外部のセキュリティサービスを組み合わせ、ネットワーク境界で悪意あるトラフィックを遮断します。

管理者や更新作業者の固定IPアドレスからのみログイン画面へのアクセスを許可する設定を行います。
海外からの攻撃が多い性質上、日本国外からの管理画面へのアクセスを原則として一括遮断することも、攻撃を大幅に減少させる上で非常に有効です。

WAF（Webアプリケーションファイアウォール）を導入することで、同一IPからの急激なアクセス集中などの通信パターンを検知し、CMSに到達する前に自動でブロックします。SQLインジェクションやクロスサイトスクリプティング（XSS）といった脆弱性攻撃も合わせて防御できます。

CMS本体やプラグイン、デザインテーマは、新たな脆弱性が発見されるたびに修正プログラム（セキュリティパッチ）が配布されます。
バージョンアップを怠ると、攻撃者に狙い撃ちされるセキュリティホールを放置することになります。定期的なアップデート作業は、あらゆる対策の基本中の基本です。

万が一、ブルートフォース攻撃を許してしまい被害が発生した際には、焦らずに影響範囲を抑え込むための初動対応が求められます。迅速に行動できるよう、以下のフローをあらかじめ頭に入れておきましょう。

不正アクセスや改ざん、あるいは他への感染拡大が発覚した場合は、即座に対象のWebサーバーをネットワークから論理的に隔離（アクセス制限や一時非公開化）します。これにより、さらなるデータの窃取や二次被害の発生を物理的に食い止めます。

乗っ取りが疑われるすべてのアカウントのパスワードを直ちに強固なものへ変更し、セッションを強制終了させます。それと同時に、原因究明や被害状況の特定に必要不可欠となるWebサーバーのアクセスログやログイン履歴を、上書きされないよう安全な場所にコピーして確保します。

確保したログから、いつ、どのアカウントが、どのIPアドレスから侵入されたのかを調査します。また、脆弱なプラグインやCMSのバージョン、不適切なアクセス権限など、攻撃の足がかりとなったセキュリティ上の穴（原因）を特定し、速やかにアップデートや設定の見直しを実行して修正します。

個人情報漏洩などの可能性がある場合は、個人情報保護委員会や関連する公的機関、影響を受けた顧客に対して速やかに事態の報告を行います。
サイトの復旧にあたっては、不正なコードが完全に排除された、クリーンなバックアップデータ（フルバックアップ、または差分・増分バックアップ）からシステムを書き戻し、再発防止策が適用されていることを確認した上で公開を再開します。

ブルートフォース攻撃は、古典的な手法でありながら、今なお多くの企業サイトにとって現実的かつ深刻な脅威であり続けています。
パスワードの強度引き上げやアカウント名の見直しといった個人の心がけはもちろんのこと、ログイン回数制限、多要素認証、WAFの導入といった複数の防御レイヤーを組み合わせる「多層防御」を構築することで、サイト全体の安全性を格段に高めることができます。
限られたリソースの中でサイトの可用性と企業の信用を維持するためにも、本記事のチェックリストを活用し、手間をかけずに導入できる対策から順次、セキュリティ体制を整えていきましょう。