応用情報技術者試験 応用情報技術者試験 令和6年度秋期 午前 問40: パスワードリスト攻撃に該当するものはどれか。

正解

ウ. どこかのWebサイトから流出した利用者IDとパスワードのリストを用いて，他のWebサイトに対してログインを試行する。

正答率 64.2%（1,367人中 878人が正解）

問題の解説

パスワードリスト攻撃とは、あるサービスから流出した利用者IDとパスワードの組のリストを使い、利用者が複数サイトで同じIDとパスワードを使い回している点を突いて、別のサイトへのログインを試みる攻撃である。これを述べたウが正解である。対策はサービスごとに異なるパスワードを設定することである。

選択肢ごとの解説

• ア一般的な単語や人名から作ったパスワードのリストで総当たり的にログインを試すのは辞書攻撃の説明であり、流出した組を使うパスワードリスト攻撃とは異なるため誤りである。
• イパスワードとそのハッシュ値の対応表から流出ハッシュ値の元を解析するのはレインボー攻撃（レインボーテーブル攻撃）の説明であり、パスワードリスト攻撃ではないため誤りである。
• ウあるWebサイトから流出した利用者IDとパスワードのリストを使い回しを狙って他サイトのログインに試すのはパスワードリスト攻撃の定義そのものであり、正解である。
• エピクチャパスワードの入力を録画して悪用するのは盗み見（のぞき見）による攻撃の一種であり、流出した認証情報のリストを使うパスワードリスト攻撃ではないため誤りである。