情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 平成28年度春期 午前 問26: パスワードリスト攻撃の手口に該当するものはどれか。

問題本文

パスワードリスト攻撃の手口に該当するものはどれか。

選択肢

• ア.辞書にある単語をパスワードに設定している利用者がいる状況に着目して，攻撃対象とする利用者IDを定め，英語の辞書にある単語をパスワードとして，ログインを試行する。
• イ.数字4桁のパスワードだけしか設定できないWebサイトに対して，パスワードを定め，文字を組み合わせた利用者IDを総当たりに，ログインを試行する。
• ウ.パスワードの総文字数の上限が小さいWebサイトに対して，攻撃対象とする利用者IDを一つ定め，文字を組み合わせたパスワードを総当たりに，ログインを試行する。
• エ.複数サイトで同一の利用者IDとパスワードを使っている利用者がいる状況に着目して，不正に取得した他サイトの利用者IDとパスワードの一覧表を用いて，ログインを試行する。

正解

エ. 複数サイトで同一の利用者IDとパスワードを使っている利用者がいる状況に着目して，不正に取得した他サイトの利用者IDとパスワードの一覧表を用いて，ログインを試行する。

解説

パスワードリスト攻撃は，利用者が複数のサイトで同じIDとパスワードを使い回す傾向に着目し，あるサイトから漏えいしたID・パスワードの一覧（リスト）を別のサイトのログインに流用する攻撃である。したがって，不正取得した他サイトのID・パスワード一覧でログインを試行するエが該当する。

選択肢ごとの解説

• ア.辞書にある単語を順に試す手口は辞書攻撃であり，パスワードリスト攻撃ではない。
• イ.パスワードを固定して利用者IDを総当たりする手口（リバースブルートフォース攻撃）であり，リストの流用ではない。
• ウ.IDを固定してパスワードを総当たりする手口（ブルートフォース攻撃）であり，リストの流用ではない。
• エ.正しい。使い回しに着目し，他サイトから不正取得したID・パスワード一覧を用いてログインを試行する，パスワードリスト攻撃の定義そのものである。