パスワードリスト攻撃

パスワードリスト攻撃は、別のサービスなどから漏えいした利用者IDとパスワードの対応する組を、他サービスのログインへ試す攻撃で、認証情報詰込みとも呼ばれます。

■ 試験で押さえるポイント

• 利用者が複数サービスで同じパスワードを使い回すことを悪用し、既に正しい可能性が高い組を試すため、少ない試行でも成功し得ます。

• 全組合せを試す総当たり、単語候補を試す辞書攻撃、一つの候補を多数IDへ試すリバースブルートフォースとは候補の由来と試し方が異なります。

• サービスごとに固有のパスワードをパスワードマネージャで管理し、フィッシング耐性のあるMFA、漏えい済みパスワードの拒否を組み合わせます。

■ 選択肢での判断ポイント

漏えいした「IDとパスワードの組」を別サービスへ試し、使い回しを突く点が決め手です。単なるパスワード推測ではありません。

例: 通販サイトAから漏えいしたメールアドレスとパスワードの組を、同じ利用者が使うサービスBへ自動入力する攻撃をMFAと異常ログイン検知で防ぎます。