ITパスポート 2022年 問95

認証情報を別サイトから大量に流用して侵入を試みる攻撃【ITパスポート 解説】

正解の理由

• 「別のWebサイトから盗み出す」＝既に漏えいした認証情報を入手する点が一致。
• 「大量の認証情報を流用」＝多くの組み合わせを自動化して試す点が一致。
• 成功のポイントは利用者の「パスワード使い回し」です。

解法ステップ

1. 問題文のキーワードを拾う：別サイトから盗む／大量の認証情報／流用／標的サイトに侵入を試みる。
2. 各選択肢の意味を短く確認する：
   • DoS攻撃：サービスを止める攻撃（攻撃の目的が可用性の低下）。
   • SQLインジェクション：データベースに不正な命令を送る攻撃。
   • パスワードリスト攻撃：入手した認証情報を大量に試す攻撃。
   • フィッシング：偽サイトでユーザを騙して認証情報を直接奪う手口。
3. キーワードと選択肢を照合する。問題文は「既に盗まれた認証情報を使うこと」を強調しているため、これに該当するものを選ぶ。
4. 結果：該当するのは ウ（パスワードリスト攻撃）。

選択肢別の誤答解説

• ア: DoS攻撃（Denial of Service：サービス妨害攻撃）
  • 定義：サーバやネットワークに大量の要求などを送り、サービスを使えなくする攻撃です。目的は「停止させること」であり、他サイトから盗んだ認証情報を使って侵入する行為とは異なります。問題文とは目的と手法が合いません。
• イ: SQLインジェクション
  • 定義：SQL（Structured Query Language：データベース操作言語）への不正な命令を入力欄などから送り、データベースを操作・改ざん・情報漏えいさせる攻撃です。確かに認証情報を盗むこともありますが、問題文の「別サイトから盗み出した大量の認証情報を流用する」という点とは方法が違います。SQLインジェクションはウェブアプリの脆弱性を突く技術的手法です。
• ウ: パスワードリスト攻撃（credential stuffing）
  • 定義：別サイトで流出したID・パスワードのリストを使い、標的サイトで大量にログインを試みる攻撃です。問題文の「別のWebサイトから盗み出す」「大量の認証情報を流用する」に完全に合致します。よって本問ではこれが正しい選択肢です。
• エ: フィッシング
  • 定義：偽のメールや偽サイトでユーザを騙し、ID・パスワードを直接入力させて盗む手口です。フィッシングは「騙して奪う」方法で、問題文の「別サイトで既に盗まれた認証情報を流用する」という点とは異なります。フィッシングが原因で認証情報が流出することはありますが、直接の説明には当てはまりません。

よくある誤解

1. フィッシングとパスワードリスト攻撃を混同する
   • フィッシングは「だますこと」で認証情報を入手します。一方、パスワードリスト攻撃は既に入手済みの情報を「使う」攻撃です。どちらも関係しますが、問題文は「既に盗まれた大量の認証情報を流用する点」を強調しています。
2. ブルートフォース攻撃（総当たり）と同じだと思う
   • ブルートフォース攻撃は全ての可能なパスワードを順に試す方法です。パスワードリスト攻撃は「既に漏えいしている（現実の）ID・パスワードの組」を試す点が違います。現実のリストを使うので成功率が高く、試行数は効率的です。
3. 「パスワードが強ければ無関係」と考える誤解
   • 強いパスワードは重要ですが、同じパスワードを複数サイトで使い回すと、どこか1箇所の漏えいで全て危険になります。使い回しを避けることが特に大切です。

補足コラム

• 防御策のポイント（実務や個人でできること）
  • 多要素認証（MFA：Multi-Factor Authentication）を導入する。パスワードに加え、ワンタイムコードや生体認証を要求すると、パスワードが漏れても突破されにくくなります。
  • パスワードの使い回しをやめる。サイトごとに固有のパスワードを使い、パスワードマネージャ（パスワードを安全に管理するソフト）を使うと便利です。
  • レートリミットや異常検知を行う。短時間で多数のログイン試行があればブロックするなどの仕組みが有効です。
  • パスワードのハッシュ化とソルト（salt）を行う。ハッシュ化は元のパスワードを取り出しにくくする処理です。ソルトは同じパスワードでも異なる結果にするための付加データです。
  • 流出情報のチェックを行う。サービス提供者は既知の漏えいリストに照合して、再設定を促すことがあります。
• なぜ成功するか（仕組みの簡単な説明）
  • 多くの人が同じパスワードを複数サイトで使っています。攻撃者は一度流出した組み合わせを他サイトに当てるだけで侵入できるため、効率的で成功率が高いのです。

FAQ