令和6年度 秋期 応用情報技術者試験 午前 問40
テクノロジ／セキュリティパスワードリスト攻撃に該当するものはどれか。
出典：令和6年度 秋期 応用情報技術者試験 午前 問40
- ア一般的な単語や人名からパスワードのリストを作成し，インターネットバンキングへのログインを試行する。
- イ想定し得るパスワードとそのハッシュ値との対のリストを用いて，入手したハッシュ値からパスワードを効率的に解析する。
- ウどこかの Web サイトから流出した利用者 ID とパスワードのリストを用いて，他の Web サイトに対してログインを試行する。
- エピクチャパスワードの入力を録画してリスト化しておき，それを利用することによってタブレット端末へのログインを試行する。
正解：ウ
解説
パスワードリスト攻撃は，何らかの方法（他サイトからの漏えいなど）で入手した利用者IDとパスワードの組みのリストを使って，別のサービスへのログインを試みる攻撃です。利用者が複数サービスで同じID・パスワードを使い回していることを悪用します。
選択肢ごとの解説
- ア誤り。一般的な単語や人名からリストを作成してログインを試みるのは辞書攻撃の説明です。
- イ誤り。パスワードとハッシュ値の対応リストからハッシュ値を解析するのはレインボーテーブル攻撃の説明です。
- ウ正しい。他サイトから流出したID・パスワードのリストで別サイトへのログインを試みるのがパスワードリスト攻撃です。
- エ誤り。入力操作を録画してリスト化する手法はショルダーハッキングなど別の攻撃手法の説明です。