類推攻撃(ルイグコウゲキ)とは | 意味や読み方など丁寧でわかりやすい用語解説

類推攻撃は、システムやユーザーの行動パターン、既知の情報、あるいは一般的な常識などを手がかりに、秘密情報やアクセス権を推測し、不正に取得しようとする攻撃手法である。これは、単に総当たりで可能性を試すブルートフォース攻撃や、既知の単語リストを試す辞書攻撃とは異なり、より「賢い推測」を特徴とする。攻撃者は、人間が設定する安易なパスワードの傾向や、システムが値を生成する際の規則性、あるいはエラーメッセージから漏洩するヒントなど、さまざまな情報源から論理的な予測を立て、攻撃を成功させようと試みる。

この攻撃の核心は、ランダムに見える、あるいはランダムであるべき情報が、実際には何らかの規則性や予測可能性を内包している点にある。攻撃者はまず、ターゲットに関する情報を広範に収集する。これはOSINT（Open Source Intelligence、公開情報源からの情報収集）と呼ばれる手法も含む。例えば、ターゲットのWebサイト構造、従業員のSNS情報、プレスリリース、公開されている技術文書など、一見無害に見える情報が、攻撃の糸口となる場合がある。これらの情報から、システムが利用する命名規則や、ユーザーが利用しそうなパスワードのパターン、あるいは内部システムのバージョン情報などを類推し、攻撃を組み立てていく。

具体的な類推攻撃の例としては、まずパスワードの推測が挙げられる。ユーザーはしばしば、誕生日、配偶者やペットの名前、好きなスポーツチーム、簡単なキーボード配列（「qwerty」「123456」など）、あるいは社名や部署名と関連する単語など、予測しやすいパスワードを設定しがちである。攻撃者は、ターゲットの公開情報（SNSのプロフィール、企業のWebサイトなど）からこれらの個人情報を収集し、それらを組み合わせてパスワードを推測する。たとえば、社員の名前と誕生日を組み合わせたパターンや、企業名に数字を付加したパターンなどを試す。これは広義の辞書攻撃とも重なるが、類推攻撃はよりターゲットに特化した情報を利用し、推測の精度を高める点に違いがある。

また、パスワードリセット機能の悪用も類推攻撃の一種である。多くのシステムでは、パスワードを忘れた際に「秘密の質問」を設けている。「母親の旧姓は？」「初めて飼ったペットの名前は？」「出身高校は？」といった質問の答えは、SNSの投稿や公開されている履歴書などから容易に推測できる場合がある。攻撃者はこれらの公開情報を利用して秘密の質問に答え、パスワードを不正にリセットしてアカウントを乗っ取ることを試みる。

さらに技術的な側面では、システムが生成する一時的な識別子（セッションIDやトークンなど）の推測も類推攻撃の対象となる。本来、これらの識別子は予測不可能なランダムな値であるべきだが、システムの実装によっては、生成される値に規則性があったり、エントロピー（不確実性）が不十分であったりする場合がある。例えば、タイムスタンプを基に生成されるセッションIDや、連番を基にした予約番号などは、その生成パターンを解析されれば容易に推測されてしまう可能性がある。攻撃者は、複数の有効なセッションIDを観測し、その生成ロジックを逆解析することで、他のユーザーのセッションIDを類推し、セッションハイジャックを行うことができる。

その他にも、Webサーバー上の隠しファイルやディレクトリの推測も類推攻撃の一種である。開発者がテスト用に残したバックアップファイル（example.php.bakなど）、設定ファイル（config.ini.oldなど）、または管理画面のURL（/admin、/consoleなど）などは、一般的な命名規則や開発者の習慣から推測される可能性がある。攻撃者はこれらの推測を基にURLを直接叩き、アクセス制限が不十分な場合に機密情報へアクセスしたり、管理機能に不正にログインしたりすることを試みる。また、APIエンドポイントに関しても、/api/v1/users/123といった一般的なエンドポイントから、/api/v1/admin/settingsのような機密性の高いエンドポイントを推測し、不正アクセスを試みるケースも存在する。

類推攻撃が成功する主な要因は、人間が安全性を軽視して利便性を優先する心理と、システム設計におけるセキュリティ意識の欠如にある。人間は覚えやすいパスワードを設定し、システムは予測可能な値を生成したり、必要以上の情報をエラーメッセージとして返したりすることがある。例えば、「ユーザー名は正しいがパスワードが間違っています」といった詳細なエラーメッセージは、攻撃者にとってユーザー名の存在を確認できるヒントとなり、パスワードの推測に集中させる手がかりを与えてしまう。

この攻撃への対策としては、多層的なアプローチが不可欠である。ユーザー側には、強力で複雑なパスワードの設定を義務付け、定期的な変更を促すこと、そして誕生日などの個人情報から連想されにくい秘密の質問と答えを設定することを啓発する必要がある。二段階認証や多要素認証の導入は、パスワードが漏洩した場合でも不正ログインを防ぐ強力な手段となる。

システム開発側には、予測不可能な値を生成するための強力な乱数生成器の使用を徹底すること、セッションIDやトークンなどの機密性の高い識別子には十分なエントロピーを確保することが求められる。パスワードリセット機能においては、秘密の質問の代わりにメールやSMSによる本人確認を推奨し、もし秘密の質問を採用するならば、回答が公開情報から推測されにくい質問項目とすること、あるいは質問の答え自体を複雑なものとする工夫が必要である。ログイン試行回数に制限を設け、一定回数失敗した場合はアカウントをロックアウトする、あるいは再試行までの時間を遅延させるといったブルートフォース対策も、広義の類推攻撃の対策として有効である。さらに、エラーメッセージは、攻撃者にヒントを与えないよう、抽象的な表現に統一することが重要だ。例えば、「ユーザー名またはパスワードが間違っています」といった曖昧なメッセージにすることで、ユーザー名の存在確認を防ぐことができる。また、Webアプリケーションファイアウォール（WAF）の導入や、定期的なセキュリティ診断、ペネトレーションテストを実施し、潜在的な脆弱性を事前に発見し対処することも、類推攻撃への重要な対策となる。これらによって、システムが攻撃者の推測を許さない堅牢な設計となっているかを確認し、セキュリティレベルを継続的に向上させることが、類推攻撃からシステムを守る上で不可欠となる。