平成28年度 春期 情報セキュリティマネジメント試験 午前 問26
テクノロジ／セキュリティパスワードリスト攻撃の手口に該当するものはどれか。
出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問26
- ア辞書にある単語をパスワードに設定している利用者がいる状況に着目して，攻撃対象とする利用者IDを定め，英語の辞書にある単語をパスワードとして，ログインを試行する。
- イ数字4桁のパスワードだけしか設定できないWebサイトに対して，パスワードを定め，文字を組み合わせた利用者IDを総当たりに，ログインを試行する。
- ウパスワードの総文字数の上限が小さいWebサイトに対して，攻撃対象とする利用者IDを一つ定め，文字を組み合わせたパスワードを総当たりに，ログインを試行する。
- エ複数サイトで同一の利用者IDとパスワードを使っている利用者がいる状況に着目して，不正に取得した他サイトの利用者IDとパスワードの一覧表を用いて，ログインを試行する。
正解：エ
解説
パスワードリスト攻撃は、複数サイトで同一の利用者IDとパスワードを使い回している利用者がいる状況に着目し、不正に取得した他サイトのID・パスワードの一覧表を用いてログインを試行する攻撃です。
選択肢ごとの解説
- ア誤り。辞書にある単語をパスワードとして試行するのは、辞書攻撃の説明です。
- イ誤り。利用者IDを総当たりで試すのは、リバースブルートフォース攻撃に近い説明です。
- ウ誤り。一つの利用者IDに対してパスワードを総当たりで試すのは、ブルートフォース攻撃の説明です。
- エ正しい。他サイトで不正に取得したID・パスワードの一覧を用いてログインを試行するのはパスワードリスト攻撃です。