情報セキュリティマネジメント 2016年 春期 午前（科目A） 問26

リスト型攻撃【情報セキュリティマネジメント解説】

正解の理由

• 攻撃者は既知のID／パスワードの組を持っている。
• それを他のサイトでそのまま試す（使い回しを突く）。
• 成功すると、別サイトでも不正ログインが成立する。

解法ステップ

1. 問題文で注目すべき語（キーワード）を探す：「他サイト」「不正に取得した一覧」「同一の利用者IDとパスワード」を探す。
2. 各選択肢がどの攻撃手法に該当するかを整理する：
   • 辞書を使う → 辞書攻撃（dictionary attack）
   • 文字を総当たりで試す → 総当たり攻撃（brute-force attack）
   • 取得済みリストを流用 → リスト型（クレデンシャルスタッフィング）
3. キーワードと攻撃手法が一致する選択肢を選ぶ。ここでは「取得済みの一覧を用いる」ことが決め手で エ を選ぶ。

選択肢別の誤答解説

• ア: 辞書にある単語をパスワードに設定している利用者を狙い、英語の辞書語を試すのは「辞書攻撃（dictionary attack）」です。既知のパスワード一覧をそのまま流用するわけではないためリスト型攻撃ではありません。
  用語説明：辞書攻撃＝辞書にある単語やフレーズを順に試してパスワードを割る手法。
• イ: 「利用者IDを総当たりに試す」と書かれています。これは利用者ID（アカウント名）を推測する攻撃で、パスワードを既に決め打ちして多数のIDを試す手法に近いですが、問題文の主題である「パスワードリスト攻撃（取得済みのID/パスワード一覧を使う）」とは異なります。数字4桁制限の話も混ざっており、説明と手法が一致していません。
• ウ: 単一の利用者IDに対して文字を組み合わせたパスワードを総当たりするのは「総当たり攻撃（brute-force attack）」です。攻撃者が文字列を全部試すため、短い文字数の制限があると成功しやすくなりますが、これも取得済みリストを流用するタイプではありません。
• エ: 不正に取得した他サイトの利用者IDとパスワードの一覧表を使ってログインを試行する、という記述はまさにリスト型攻撃（クレデンシャルスタッフィング）です。既知の組を「使い回す」ことが本質なので正解となります。

よくある誤解

1. 「辞書攻撃とリスト型攻撃は同じ」と考える誤解
   • 辞書攻撃はパスワード候補（辞書語）を生成して試す。リスト型攻撃は既に漏洩した実際のID／パスワード組を流用する点が違います。
2. 「総当たり（ブルートフォース）＝リスト型」と混同する誤解
   • 総当たりは全ての組合せを試す手法。リスト型は“既知の、現実に使われていた組”を使うので、試行回数は少なく成功率が高い場合があります。

補足コラム

• パスワードの使い回し禁止、パスワードマネージャーの導入推奨（パスワード管理ツール）。
• 多要素認証（MFA：Multi-Factor Authentication、多段階で本人確認する仕組み）の必須化。例：パスワード＋スマホに届くワンタイムコード。
• 異常なログイン試行の検知とレート制限（短時間に同一アカウントへの多数の試行を遮断）。
• 漏えい監視と早期通知。外部で自社ドメインのメールアドレス等が漏れていないかを監視する。

• クレデンシャルスタッフィング（Credential stuffing）：既に盗まれたログイン情報を他サイトで使い回して不正ログインを試す攻撃。
• 総当たり攻撃（brute-force attack）：可能な全ての文字列を試してパスワードを探す手法。
• 辞書攻撃（dictionary attack）：辞書にある単語やよくあるフレーズを順に試す手法。
• 多要素認証（MFA）：複数の手段（知識：パスワード、所持：スマホ、固有：指紋など）で本人確認すること。

FAQ