情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 平成31年度春期 午前 問16: 特定のサービスやシステムから流出した認証情報を攻撃者が用いて，認証情報を複数のサービスやシステムで使い回している利用者のアカウントへのログインを試みる攻撃はどれ

問題本文

特定のサービスやシステムから流出した認証情報を攻撃者が用いて，認証情報を複数のサービスやシステムで使い回している利用者のアカウントへのログインを試みる攻撃はどれか。

選択肢

• ア.パスワードリスト攻撃
• イ.ブルートフォース攻撃
• ウ.リバースブルートフォース攻撃
• エ.レインボー攻撃

正解

ア. パスワードリスト攻撃

解説

パスワードリスト攻撃は、どこかのサービスから流出したID・パスワードの一覧を別のサービスに次々と入力し、複数サービスで同じ認証情報を使い回している利用者のアカウントへ不正ログインを試みる攻撃である。設問の「流出した認証情報を使い回しているアカウントへログインを試みる」という記述にそのまま一致するため、アが正解である。

選択肢ごとの解説

• ア.流出した認証情報のリストを使い回しユーザのアカウントへ試行する攻撃で、パスワードリスト攻撃の定義そのものである。
• イ.ブルートフォース攻撃は一つのIDに対し総当たりでパスワードを試す攻撃であり、流出情報の使い回しを突くものではない。
• ウ.リバースブルートフォース攻撃は一つのパスワードを固定し多数のIDへ試す手法で、流出した認証情報を用いるものではない。
• エ.レインボー攻撃はレインボーテーブルを用いてハッシュ値から元のパスワードを逆算する手法であり、本設問の攻撃とは異なる。