解説

パスワードを狙う攻撃手法の分類問題です。パスワードリスト攻撃は、複数のサイトで同一の利用者IDとパスワードを使い回している利用者が多いという状況に着目した攻撃です。攻撃者は、セキュリティの弱いサイトから流出させるなどして不正に取得した他サイトのID・パスワードの一覧表（リスト）を用い、標的サイトでログインを試行します。正しい組合せをそのまま使うため、試行回数が少なくても成功率が高く、回数制限による対策をすり抜けやすいのが特徴です。ウが正解です。この攻撃への根本的な対策は利用者側のパスワード使い回しの防止であり、サイト側では多要素認証の導入、リスクベース認証、漏えいパスワードのチェックなどが有効です。類似の攻撃として、辞書攻撃（ア: 辞書の単語を試す）、ブルートフォース攻撃（イ: 総当たり）、リバースブルートフォース攻撃（エ: パスワード固定でIDを総当たり）があり、それぞれの「何を固定して何を試すか」を整理して覚えることが重要です。

なぜ他の選択肢は違うのか

選択肢 ア

攻撃対象の利用者IDを一つ定め、辞書にある単語やその組合せをパスワードとして試行するのは、辞書攻撃の説明です。人間が覚えやすい単語をパスワードに設定しがちな傾向を突く攻撃で、推測候補を辞書からあらかじめ生成しておく点が特徴です。すでに流出した「正しいID・パスワードの組」をそのまま使い回すパスワードリスト攻撃とは、試行に用いる候補の出どころが根本的に異なります。

選択肢 イ

パスワードの文字数上限が小さいサイトに対して、IDを固定して文字を組み合わせたパスワードを総当たりするのは、ブルートフォース攻撃（総当たり攻撃）の説明です。パスワード空間が狭ければ全パターンの試行が現実的な時間で終わるため有効になります。総当たりという膨大な試行回数を要する点で、流出した正しい組を使い少ない試行で成功を狙うパスワードリスト攻撃とは対照的な手口です。

選択肢 エ

よく用いられるパスワードを一つ定め、利用者IDの方を総当たりするのは、リバースブルートフォース攻撃の説明です。同一IDへの連続失敗でロックする対策を回避できる点が攻撃者側の狙いです。IDとパスワードのどちらを固定してどちらを変えるかという観点で、ブルートフォース攻撃と表裏の関係にあります。流出リストを用いるパスワードリスト攻撃とは手口が異なります。

解くときのポイント

パスワード攻撃は「何を使って試すか」で分類: 流出した正しい組の一覧＝リスト攻撃、辞書の単語＝辞書攻撃、全組合せ＝ブルートフォース、パスワード固定でID総当たり＝リバースブルートフォース。