情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 平成28年度秋期 午前 問26: パスワードリスト攻撃に該当するものはどれか。

正解

ウ. どこかの Web サイトから流出した利用者 ID とパスワードのリストを用いて，他の Web サイトに対してログインを試行する。

正答率 40.0%（20人中 8人が正解）

問題の解説

パスワードリスト攻撃とは，あるサイトから漏えいした利用者 ID とパスワードの組合せのリストを使い，利用者が複数サイトで同じ認証情報を使い回している（パスワードの使い回し）ことを悪用して別のサイトへ不正ログインを試みる攻撃である。流出した ID・パスワードのリストを他の Web サイトへのログインに用いると説明している（ウ）がこれに該当する。

選択肢ごとの解説

• ア辞書に載っている単語や人名などからパスワード候補を作って試す辞書攻撃の説明であり，パスワードリスト攻撃ではない。
• イパスワードとそのハッシュ値の対応表（レインボーテーブル）を使ってハッシュ値から元のパスワードを逆算する攻撃の説明であり，該当しない。
• ウ正しい。他サイトから流出した ID・パスワードのリストを使い回しを狙って別サイトへ試行する行為で，パスワードリスト攻撃の定義そのものである。
• エ入力操作を盗み見・録画して認証情報を得るショルダーハッキング的手法の説明であり，リストの使い回しを悪用するものではない。