令和4年度 問95

✓ これが正解ウパスワードリスト攻撃

解説

パスワードの使い回しをねらうのがパスワードリスト攻撃です。

パスワードリスト攻撃は、どこか別のサイトから漏れ出した利用者IDとパスワードの一覧を手に入れ、その組合せをそのまま別のサイトで試していく攻め方です。総当たりのように片端から試すのではなく、実際に誰かが使っている組合せだけを試すので、少ない回数で当たってしまう点が厄介です。効いてしまう理由はただ一つ、同じIDとパスワードを複数のサイトで使い回している人がいるからです。逆にいえば、サイトごとに違うパスワードにしておけば、どこか一つが漏れても被害はそこで止まります。残る三つは、大量の要求で止めるDoS攻撃、入力欄に命令を紛れ込ませるSQLインジェクション、偽のサイトへ誘い込むフィッシングの説明です。使い回しをやめるだけで効かなくなる攻め方でもあります。よって当てはまるのはパスワードリスト攻撃です。

ほかの選択肢はなぜ違うのか

• アDoS攻撃：DoS攻撃は、標的のサーバへ大量の要求を送りつけて、まともに応じられない状態に追い込む攻め方です。ねらいはサービスを止めることであって、手に入れた認証情報を使って中へ入り込むことではありません。入り込むことが目的ではありません。
• イSQLインジェクション：SQLインジェクションは、入力欄にデータベースへの命令を紛れ込ませ、本来なら取り出せない情報を引き出したり書き換えたりする攻め方です。別のサイトから盗んだ認証情報を使い回す手口とは、突く場所が違います。
• エフィッシング：フィッシングは、本物そっくりの偽のサイトや偽のメールで利用者を誘い込み、自分からIDやパスワードを入力させて盗む手口です。集めるところまでの話であり、すでに手元にある大量の情報を試していく段の攻め方ではありません。