情報セキュリティマネジメント 2019年 春期 午前（科目A） 問16

パスワードリスト攻撃【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題文から「何をしている攻撃か」を短く整理する：流出した認証情報をそのまま別サービスで試す、という行為。
2. 各選択肢の意味を一つずつ当てはめて差を確認する：
   • リストを使うか、総当たり（すべて試す）か、既知のハッシュ解読か、など。
3. 「流出した認証情報を使う」→それをそのまま投入する攻撃が「パスワードリスト攻撃」であると判断する。

選択肢別の誤答解説

• ア パスワードリスト攻撃
  正答。流出したユーザID＋パスワードの組をリスト化し、別サービスへ投入して不正ログインを試みる攻撃。
• イ ブルートフォース攻撃（総当たり攻撃）
  ブルートフォース攻撃は「特定のアカウント」に対して考えられる全て（または大量の）パスワードを順に試す攻撃です。流出した「正しい組」を使う点が設問とは異なり、総当たりで答えを探すタイプなので不正解。
• ウ リバースブルートフォース攻撃
  「リバース（逆）ブルートフォース」は一般に、特定のパスワード（例: 'password123'）を多数のユーザ名に対して試す攻撃を指します。パスワードリスト攻撃と似ていますが、リスト攻撃は「（ユーザ名＋パスワード）の組」が既にある点で異なります。
• エ レインボー攻撃（レインボーテーブル攻撃）
  レインボー攻撃は、ハッシュ化されたパスワード（例: データベースに保存されたハッシュ）をオフラインで逆算するための「レインボーテーブル（事前計算表）」を使う手法です。オンラインで他サービスにそのまま試すという説明とは機序が異なります。

よくある誤解

1. 「パスワードリスト攻撃＝ブルートフォース」と混同する
   → 両者は目的は同じ（ログイン取得）でも、手段が違います。リスト攻撃は既知の正しい組を流用する点が決定的に異なります。
2. 「レインボー攻撃はインターネット上で直接ログインを試す手法だ」と考える
   → レインボーはハッシュを復元するオフライン作業が本体で、ログイン試行は別の工程です。
3. 「対策はパスワード複雑化だけで十分」
   → 複雑さだけでは不十分。パスワードの使い回しを根本から防ぐ仕組み（MFAやパスワードマネージャ）が必要です。

補足コラム

• 用語整理：
  • 認証情報：ユーザIDとパスワードなど、本人を確認するための情報。
  • MFA（多要素認証、Multi-Factor Authentication）：パスワードに加え、スマホのワンタイムコードや指紋など別の要素を要求する認証方式。
  • クレデンシャルスタッフィング（credential stuffing）：英語名。パスワードリスト攻撃と同義で用いられます。
• 企業での実務的対策（すぐできる順）：
  1. 多要素認証（MFA）を全社員の重要システムに導入する。
  2. パスワードの使い回しを防ぐため、パスワードマネージャの導入を推奨・支援する。
  3. レート制限（短時間に多数のログイン試行をブロック）やCAPTCHAを設置する。
  4. 過去に漏えいしたパスワードの利用を禁止する（禁止パスワードリストを用いる）。
  5. ログイン異常検知（異常なIPや大量試行を検出してアラート）と監視。
  6. 外部の漏えい検知サービスで自社ドメインの認証情報漏えいを監視する。
• 運用イメージ：
  総務や人事が社員アカウント運用を担う場合、まずは「全社的にMFAを必須にする」「パスワード管理ツールを導入して使い方を教育する」ことが現実的です。IT部門と連携してログ監視と対処フロー（怪しいログインがあったらパスワードリセット・MFA強化・影響範囲の確認）を定めます。

FAQ