平成29年度 春期 ITパスポート試験 問95

「暗号化されていない通信」は通信路上での盗聴 (中間者による傍受) のリスクの話です。本問の被害は、すでに別サイトから漏えい済みの ID・パスワードの組を攻撃者が別の Web サイトで使い回したことによって起きています。通信の暗号化の有無はパスワードリスト攻撃の成立要因ではないため、問題点として不適切です。

「種類が少ない文字 (文字種が乏しい)」パスワードは、総当たり攻撃や辞書攻撃で推測されやすいという弱点です。しかしパスワードリスト攻撃は、漏えいした「正しいパスワードそのもの」をそのまま使う攻撃なので、文字種の多寡は被害の成否に関係しません。よって本事例の直接の問題点とは言えません。

「短いパスワード」も、桁数が少ないほど総当たり攻撃で破られやすいという弱点であり、ウと同種の話です。パスワードリスト攻撃は既知の正しいパスワードを流用するため、長さの長短は無関係です。したがって本事例で問われている問題点には当たりません。