情報セキュリティマネジメント 平成28年度 秋期 午前 問26

✓ これが正解ウ どこかのWebサイトから流出した利用者IDとパスワードのリストを用いて，他のWebサイトに対してログインを試行する。

解説

他サイトから流出したIDとパスワードを使い回して試す攻撃です。

パスワードリスト攻撃は、どこかのWebサイトから流出した利用者IDとパスワードの組みを攻撃者が手に入れ、その同じ組みを別のWebサイトのログインで試す攻撃です。同じ組合せを複数のサービスで使い回している利用者が多い、という実態を突いています。実在する正しい組みをそのまま入力するので、当てずっぽうを繰り返す攻撃と比べて試行回数が少なくて済み、失敗の連続を見張るアカウントロックにも掛かりにくいのが厄介な点です。利用者側の基本の備えは、サービスごとに違うパスワードを使い、使い回しをやめることです。

ほかの選択肢の解説

• ア 一般的な単語や人名からパスワードのリストを作成し，インターネットバンキングへのログインを試行する。：一般的な単語や人名を並べた一覧から当たりそうなパスワードを推測して試すやり方は、辞書攻撃と呼ばれます。あらかじめ用意するのは語句の一覧であって、実際にどこかから漏れた認証情報ではありません。
• イ 想定し得るパスワードとそのハッシュ値との対のリストを用いて，入手したハッシュ値からパスワードを効率的に解析する。：想定し得るパスワードとそのハッシュ値の対をあらかじめ計算した表を持っておき、入手したハッシュ値から元の値を割り出す手法は、レインボーテーブル攻撃と呼ばれます。ログイン画面に認証情報を入力していく攻撃ではありません。
• エ ピクチャパスワードの入力を録画してリスト化しておき，それを利用することによってタブレット端末へのログインを試行する。：ピクチャパスワードの入力の様子を録画して一覧にしておく行為は、他人の操作を盗み見て認証の手掛かりを得るやり方です。別のサイトから漏れた認証情報を持ち込んで試すという形にはなっていません。