情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 平成31年度春期 午前 問16: 特定のサービスやシステムから流出した認証情報を攻撃者が用いて，認証情報を複数のサービスやシステムで使い回している利用者のアカウントへのログインを試みる攻撃はどれ

正解

ア. パスワードリスト攻撃

正答率 57.6%（33人中 19人が正解）

問題の解説

パスワードリスト攻撃は、どこかのサービスから流出したID・パスワードの一覧を別のサービスに次々と入力し、複数サービスで同じ認証情報を使い回している利用者のアカウントへ不正ログインを試みる攻撃である。設問の「流出した認証情報を使い回しているアカウントへログインを試みる」という記述にそのまま一致するため、アが正解である。

選択肢ごとの解説

• ア流出した認証情報のリストを使い回しユーザのアカウントへ試行する攻撃で、パスワードリスト攻撃の定義そのものである。
• イブルートフォース攻撃は一つのIDに対し総当たりでパスワードを試す攻撃であり、流出情報の使い回しを突くものではない。
• ウリバースブルートフォース攻撃は一つのパスワードを固定し多数のIDへ試す手法で、流出した認証情報を用いるものではない。
• エレインボー攻撃はレインボーテーブルを用いてハッシュ値から元のパスワードを逆算する手法であり、本設問の攻撃とは異なる。