解説

パスワードスプレー攻撃は、アカウントロックアウトを回避するために設計された攻撃手法です。通常のブルートフォース攻撃は特定のアカウントに多数のパスワードを試みますが、多くのシステムでは一定回数の失敗でアカウントをロックします。パスワードスプレー攻撃では逆に、「123456」や「Password1」などよく使われるパスワードを少数（1〜数個）だけ選んで、多数のアカウントに試みます。また、試行のタイミングをずらしたり、異なるIPアドレスから実行したりして、セキュリティシステムの検知を回避します。1アカウントあたりの試行回数が少ないためロックアウトが発生しにくく、大量のアカウントに有効なパスワードが見つかる可能性があります。

なぜ他の選択肢は違うのか

選択肢 ア

1つのIDに辞書・人名リストを順番にパスワードとして試す攻撃は辞書攻撃です。特定のアカウントに対して様々なパスワードを試すため、アカウントロックアウトに引っかかりやすいという特徴があります。パスワードスプレー攻撃は逆に多数のIDに少数のパスワードを試みます。

選択肢 イ

1つのIDにパスワードを総当たりする攻撃はブルートフォース攻撃（総当たり攻撃）です。考えられるすべての文字の組み合わせを試みるため時間はかかりますが、理論上すべてのパスワードを解析できます。アカウントロックアウトで防御できますが、パスワードスプレーとは根本的に異なります。

選択肢 エ

他サイトで漏洩したID/パスワードのリストを使って別のサービスへのログインを試みる攻撃はパスワードリスト攻撃（クレデンシャルスタッフィング）です。同じパスワードを使い回しているユーザを狙います。パスワードスプレーは推測しやすい共通パスワードを使う点で異なります。

解くときのポイント

パスワードスプレー：多数ID×少数パスワード＋タイミング分散でロックアウト回避。辞書攻撃・総当たりは1ID×多数PW。