パスワードクラック（password crack）とは、ユーザーが本人確認のために設定した秘密のパスワードを不正に解読する行為を指します。
これはサイバー攻撃の中でも非常に基本的かつ危険な技術であり、情報漏洩やアカウント乗っ取りの主な原因となります。
この記事では、代表的なパスワードクラック手法とその対策方法について、ITエンジニアや情報セキュリティ担当者向けにわかりやすく解説します。
パスワードクラックの概要
パスワードクラックとは？
パスワードクラックとは、システムやサービスにログインするためのパスワードを不正に推測・解読する行為です。
成功すると攻撃者は正規のユーザーになりすまし、機密情報へのアクセスや不正操作が可能になります。
この行為は明確に不正アクセス禁止法などの法律違反であり、重い刑罰の対象にもなりますが、インターネット上では今なお広く行われています。
パスワードクラックの代表的な手法
総当たり攻撃（ブルートフォース攻撃）
ブルートフォース攻撃（Brute Force Attack）は、考えられるすべての文字の組み合わせを1つずつ試してパスワードを割り出す最も原始的な手法です。
例：
4桁の数字（例：PINコード）ならば、0000〜9999までの10,000通りを試せば確実に正解にたどり着けます。
短く、文字種が少ないパスワードでは極めて危険です。
辞書攻撃（ディクショナリアタック）
辞書攻撃は、一般的な単語や人名・地名などを事前にリスト化した「辞書」を使って、それらを片っ端から試す手法です。
特徴：
-
実在する単語（例：「password」「letmein」）が対象
-
人間が覚えやすいパスワードに強い
類推攻撃（パターン推測）
ターゲットの個人情報（誕生日、電話番号、家族の名前など）から可能性のある文字列を生成する攻撃手法です。
例：
-
19850715（誕生日）
-
taro123（名前+数字）
-
tokyo2020（地名+イベント）
SNS等から得た公開情報が利用されることもあり、個人情報の保護も非常に重要です。
パスワードリスト攻撃（リスト型攻撃）
パスワードリスト攻撃（Credential Stuffing）は、過去に流出したID・パスワードの組み合わせを使って、他のサービスへログインを試みる攻撃です。
なぜ有効か？
多くのユーザーが「同じパスワードを複数のサービスで使い回す」ためです。
対策：
-
各サービスで異なるパスワードを使用
-
二段階認証（2FA）の導入
パスワードのハッシュ化とその限界
ハッシュ化とは？
多くのシステムでは、パスワードをそのまま保存せず、ハッシュ関数で変換した「ハッシュ値」だけを保存します。
-
入力パスワードもハッシュ化して照合する
-
元のパスワードを復元できない（片方向性）
弱点：ハッシュ関数の強度
古い・弱いハッシュ関数（例：MD5やSHA-1）では、辞書攻撃や総当たり攻撃により逆算（クラッキング）可能な場合があります。
対策：
-
強力なハッシュ関数（SHA-256やbcryptなど）の利用
-
ソルト（salt）を追加してハッシュを複雑化
パスワードクラックから身を守るために
セキュアなパスワード設計のポイント
-
最低12文字以上の長さ
-
英大文字・小文字・数字・記号の混合
-
辞書に載っていない意味のないランダム文字列
-
各サービスごとに異なるパスワードを使用
-
パスワード管理ツール（例：1Password, Bitwarden）を活用
二段階認証（2FA）を有効に
IDとパスワードに加え、認証アプリやSMSでのコード入力を追加することで、万が一パスワードが漏洩しても第三者によるアクセスを防ぐことができます。
まとめ
本記事では、パスワードクラック（password crack）の代表的な手法とその対策について詳しく解説しました。
以下のポイントを再確認しましょう：
-
パスワードクラックは不正アクセスの主要手段で、複数の手法が存在する
-
総当たり攻撃・辞書攻撃・類推攻撃・リスト攻撃など、対象に応じて使い分けられる
-
ハッシュ化は重要だが、適切なアルゴリズムとソルトの使用が必須
-
安全なパスワード設計と二段階認証の併用が最大の防御策
ITセキュリティの第一歩は、「強固なパスワード管理」から。
今一度、自分のアカウントの安全性を見直してみましょう。
さらに参考してください:
バズワードとは？意味不明なのに広がるIT業界の流行語を徹底解説