基本情報技術者 2019年春期午前（科目A）問37

問題文

パスワードリスト攻撃の手口に該当するものはどれか。

🖊️ 解答を隠して解いてみる

選択肢

ア：辞書にある単語をパスワードに設定している利用者がいる状況に着目して、攻撃対象とする利用者IDを一つ定め、辞書にある単語やその組合せをパスワードとして、ログインを試行する。

イ：パスワードの文字数の上限が小さいWebサイトに対して、攻撃対象とする利用者IDを一つ定め、文字を組み合わせたパスワードを総当たりして、ログインを試行する。

ウ：複数サイトで同一の利用者IDとパスワードを使っている利用者がいる状況に着目して、不正に取得した他サイトの利用者IDとパスワードの一覧表を用いて、ログインを試行する。（正解）

エ：よく用いられるパスワードを一つ定め、文字を組み合わせた利用者IDを総当たりして、ログインを試行する。

🔒 解説は解答すると表示されます

パスワードリスト攻撃【午前解説】

正解の理由

正解はウです。ウの説明は「不正に取得した他サイトの利用者IDとパスワードの一覧表を用いて、ログインを試行する」とあり、これはクレデンシャルスタッフィング（パスワードリスト攻撃）の典型的な定義です。攻撃者は既に入手した有効な組合せをそのまま他サイトで試すため、辞書攻撃や総当たりとは異なり、正しい組合せが存在する確率が高く効率的です。

解法ステップ

問題文中のキーワードを探す：「不正に取得した」「他サイト」「一覧表」「ログインを試行」など。
用語と照合する：これらは「既存の漏洩資格情報を別サイトで使う行為」＝クレデンシャルスタッフィングに一致。
他選択肢の特徴と比較する：辞書攻撃、ブルートフォース、パスワードスプレーなどと照らして排除する。
正答を確定する：ウが定義に合致するため正解。

選択肢別の誤答解説

ア: 辞書攻撃を説明しています。辞書にある単語や組合せを「推測」して試す手法で、漏洩済みのID/PW一覧を使う点が異なります。
イ: 文字の組合せを総当たりする記述で、ブルートフォース攻撃（総当たり）に該当します。パスワードリスト攻撃とは手法と前提が違います。
ウ: 正解。盗用された他サイトのID/PWリストをそのまま別サイトで試すクレデンシャルスタッフィング（パスワードリスト攻撃）です。
エ: よく使われるパスワード1つを決めて利用者IDを総当たりする手法は、典型的にはパスワードスプレー（多数のアカウントに対して少数の一般的パスワードを試す攻撃）に近く、設問の「パスワードリスト攻撃」とは異なります。

よくある誤解

辞書攻撃と混同しやすい：辞書攻撃は一般的に単語やフレーズの組合せで「推測」する手法で、漏洩データの再利用とは区別されます。
総当たり（ブルートフォース）と同一視する誤り：総当たりは全パターンを試すため計算コストが高い一方、パスワードリスト攻撃は既知の有効情報を流用する点で効率が違います。
「1つの共通パスワードで多数のIDを試す」はパスワードスプレーと呼ばれ、文意を逆にしている点を見落としやすいです。

補足コラム

クレデンシャルスタッフィングは近年の漏洩データ流通と相まって増加傾向にあります。攻撃は自動化され、ボットやプロキシを使って分散的に行われるため、単純なIPブロックでは防ぎきれないことが多いです。対策としては多要素認証（MFA）、パスワードのユニーク化（パスワードマネージャの活用）、レートリミッティング、異常ログイン検知（デバイス指紋・IP評判・行動分析）などを組み合わせることが効果的です。

FAQ

Q. クレデンシャルスタッフィングとパスワードスプレーの違いは？
A. クレデンシャルスタッフィングは「漏洩したID/PWの組合せ」を他サイトで再利用する攻撃、パスワードスプレーは「少数の共通パスワード」を多くのIDに対して試す攻撃です。

Q. なぜパスワードの長さだけでは防げないのですか？
A. 漏洩データが既に正しい認証情報であれば、長く複雑なパスワードでも使い回しされていれば攻撃は成功します。したがって使い回し防止とMFAが重要です。

Q. サイト側でできる具体的な検知方法は？
A. レートリミット、アカウントロック、CAPTCHA、IP・デバイスの異常検知、既知漏洩リストとの照合（ログイン試行時のリストチェック）などを組み合わせます。

関連キーワード: パスワードリスト攻撃、クレデンシャルスタッフィング、辞書攻撃、ブルートフォース攻撃、パスワードスプレー、パスワード使い回し、多要素認証、レートリミッティング、不正ログイン検知、漏洩データ対策

← 前の問題へこの年度をクイズで解く次の問題へ →

\ せっかくなら /

基本情報技術者を
クイズ形式で学習しませんか？

クイズ画面へ遷移する→

すぐに利用可能！