ITパスポート試験 ITパスポート 2026年 (令和8年) 問71: インターネットバンキングなどのWebサイトで利用されているリスクベース認証の例として，適切なものはどれか。

正解

ア. 利用者がいつもログインに使っているPCとは異なるPCからのログインであったので，本人しか知らない秘密の質問による追加の認証を行った。

正答率 52.8%（1,703人中 900人が正解）

問題の解説

リスクベース認証は、ログイン時の端末、接続元のIPアドレス、場所、時間帯といった利用状況から不正アクセスの危険度を判断し、危険度が高いときだけ追加の認証を求める方式である。普段と異なるPCからのログインを検知して秘密の質問で追加認証を行う例が当てはまる。他の例は、利用状況から危険度を判断するものではない。

選択肢ごとの解説

• ア正しい。いつもと違う端末からのログインという危険度の高い状況を検知して、追加の認証を求めており、リスクベース認証の典型例である。
• イ一定時間操作がないときに自動でログアウトする、セッションの時間制限である。ログイン時の状況から危険度を判断する仕組みではない。
• ウパスワードを連続して間違えたときにアカウントをロックする、総当たり攻撃への対策である。端末や場所などの利用状況から危険度を判断するものではない。
• エパスワードを長期間変えていない利用者に変更を促す、定期変更の運用である。ログイン時の状況から危険度を判断するものではない。