応用情報技術者試験 応用情報技術者試験 令和6年度秋期 午前 問40: パスワードリスト攻撃に該当するものはどれか。

正解

ウ. どこかのWebサイトから流出した利用者IDとパスワードのリストを用いて，他のWebサイトに対してログインを試行する。

正答率 64.2%（1,369人中 879人が正解）

問題の解説

パスワードリスト攻撃は、他のサイトから流出した利用者 ID とパスワードの組を使い、別のサイトでログインを試みる攻撃である。利用者が複数のサイトで同じ組を使い回していると破られやすい。対策は、使い回しを避けることや、多要素認証の導入である。

選択肢ごとの解説

• ア一般的な単語や人名からリストを作ってログインを試すのは、辞書攻撃である。他のサイトから流出した組を使うわけではない。
• イパスワードとハッシュ値の対のリストから、入手したハッシュ値のパスワードを調べるのは、レインボーテーブル攻撃などの手口で、ログインを試す攻撃ではない。
• ウ正しい。他のサイトから流出した ID とパスワードの組を使い、別のサイトにログインを試みるのが、パスワードリスト攻撃である。
• エピクチャパスワードの入力を録画して再利用する手口は、操作の盗み見や録画による攻撃で、流出した組を使い回すものではない。