情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 平成28年度春期 午前 問26: パスワードリスト攻撃の手口に該当するものはどれか。

正解

エ. 複数サイトで同一の利用者IDとパスワードを使っている利用者がいる状況に着目して，不正に取得した他サイトの利用者IDとパスワードの一覧表を用いて，ログインを試行する。

正答率 77.1%（83人中 64人が正解）

問題の解説

パスワードリスト攻撃は，利用者が複数のサイトで同じIDとパスワードを使い回す傾向に着目し，あるサイトから漏えいしたID・パスワードの一覧（リスト）を別のサイトのログインに流用する攻撃である。したがって，不正取得した他サイトのID・パスワード一覧でログインを試行するエが該当する。

選択肢ごとの解説

• ア辞書にある単語を順に試す手口は辞書攻撃であり，パスワードリスト攻撃ではない。
• イパスワードを固定して利用者IDを総当たりする手口（リバースブルートフォース攻撃）であり，リストの流用ではない。
• ウIDを固定してパスワードを総当たりする手口（ブルートフォース攻撃）であり，リストの流用ではない。
• エ正しい。使い回しに着目し，他サイトから不正取得したID・パスワード一覧を用いてログインを試行する，パスワードリスト攻撃の定義そのものである。