問95
頻出度★★★
攻撃対象とは別の Web サイトから盗み出すなどによって, 不正に取得した大量の認証情報を流用し, 標的とする Web サイトに不正に侵入を試みるものはどれか。
令和4年度 ITパスポート試験 問95
テクノロジ系セキュリティ › 情報セキュリティ
この問題の解説と、これまでの解答の記録です。
解説
問 95
不正解ア
DoS 攻撃は大量のアクセスや過負荷なパケットを標的サーバに送りつけ、サービスを停止・妨害する攻撃。可用性を狙うものであり、盗んだ認証情報でログイン侵入を試みる行為ではない。
不正解イ
SQL インジェクションは Web の入力欄に不正な SQL 文を注入し、データベースを不正操作・情報窃取する攻撃。別サイトから盗んだ認証情報を使い回してログインする手口とは異なる。
- ウ
正解 「ウ パスワードリスト攻撃」が正解。パスワードリスト攻撃とは、別の Web サイトから漏えい・窃取した ID とパスワードの組 (認証情報リスト) を、標的の Web サイトでそのまま使い回してログインを試みる攻撃で、クレデンシャルスタッフィングとも呼ぶ。設問文の「攻撃対象とは別の Web サイトから盗み出す」「不正取得した大量の認証情報を流用」「標的サイトに不正侵入を試みる」という記述に完全に一致する。多くの利用者が複数サイトで同じ ID・パスワードを使い回している事実を悪用する点が特徴。
不正解エ
フィッシングは本物そっくりの偽サイトや偽メールで利用者本人をだまし、ID・パスワードなどを直接入力させて盗む攻撃。設問の「別サイトから盗んだ認証情報を流用する」という前提とは異なる。
ここがポイント
- パスワードリスト攻撃 (クレデンシャルスタッフィング) = 他サイトから漏えいした ID・パスワードの組を標的サイトで使い回してログインを試みる攻撃。パスワード使い回しが被害を拡大させる。
- 対策は「サイトごとに異なるパスワードを設定する」「多要素認証を導入する」こと。攻撃手口 (DoS・SQL インジェクション・フィッシング) の定義を区別して押さえる。
用語