平成27年度 春期 応用情報技術者試験 午前 問39
テクノロジ／セキュリティパスワードリスト攻撃に該当するものはどれか。
出典：平成27年度 春期 応用情報技術者試験 午前 問39
- ア一般的な単語や人名からパスワードのリストを作成し，インターネットバンキングへのログインを試行する。
- イ想定され得るパスワードとそのハッシュ値との対のリストを用いて，入手したハッシュ値からパスワードを効率的に解析する。
- ウどこかのWebサイトから流出した利用者IDとパスワードのリストを用いて，他のWebサイトに対してログインを試行する。
- エピクチャパスワードの入力を録画してリスト化しておき，それを利用することでタブレット端末へのログインを試行する。
正解：ウ
解説
パスワードリスト攻撃は，あるサービスから流出した利用者IDとパスワードの組のリストを使って，利用者が複数のサービスで同じID・パスワードを使い回していることを悪用し，別のサービスへログインを試みる攻撃です。
選択肢ごとの解説
- ア誤り。一般的な単語や人名からリストを作成してログインを試みるのは辞書攻撃の説明です。
- イ誤り。パスワードとハッシュ値の対のリストからハッシュ値を解析する手法は，レインボーテーブル攻撃の説明です。
- ウ正しい。他のサイトから流出したID・パスワードのリストを使い回しに乗じて別サイトへのログインを試みるのがパスワードリスト攻撃です。
- エ誤り。ピクチャパスワードの入力を録画してリスト化する手口は，ショルダーハッキングなど別の窃取手口に基づく攻撃です。