パスワード攻撃となりすまし

要点と定義

パスワード攻撃は、候補の作り方や試す対象によって区別できます。辞書攻撃は、辞書に載る語などをパスワード候補にしてログインを試します。

ブルートフォース攻撃は、一つの利用者IDに対して、さまざまなパスワード候補を総当たりで試します。

リバースブルートフォース攻撃は、一つのパスワードを多数の利用者IDに対して試します。

パスワードリスト攻撃は、流出などで入手した利用者IDとパスワードの組を、別のサービスでも使い回している利用者に対して試します。

ビジネスメール詐欺（BEC）は、取引先などの実在する関係者を装ったメールで金銭をだまし取る詐欺です。関係者らしく見せるのは、受信者に不審なメールだと思われにくくするためです。

適用条件と例

攻撃の見分けでは、何を固定し、何を次々に変えているかを確認します。一つのIDに多くのパスワード候補を試すならブルートフォース攻撃、一つのパスワードを多数のIDに試すならリバースブルートフォース攻撃です。

例えば、攻撃者が「社内ポータルで使われていそうな単語」を候補にし、複数の従業員アカウントで試す場合、候補の作り方は辞書攻撃に当たります。 一方、別の通販サイトから流出したIDとパスワードの組を社内ポータルでも試す場合は、パスワードリスト攻撃です。

対策は攻撃の仕組みに合わせます。辞書攻撃には推測されにくいパスワード、通信の盗聴には暗号化、ブルートフォース攻撃にはログイン試行回数の制限が有効な対策として示されています。 パスワードの使い回しを避け、サービスごとに異なるパスワードを管理することは、流出した認証情報の別サービスでの悪用を抑える助けになります。

共用PCを使う状況では、ブラウザにパスワードを保存したり、平文ファイルをデスクトップに置いたりすると、他の利用者に認証情報を使われるおそれがあります。個人が管理するスマートフォン上の信頼できるパスワード管理アプリを使う方法が、設問の状況では適切とされています。

誤りやすい点

パスワードリスト攻撃は、単に多くのパスワード候補を試す攻撃ではありません。流出したIDとパスワードの組を、他のサービスにも使い回している利用者に試す点が判断の手掛かりです。 一つのパスワードを多くのIDに試す手口とも区別します。

「パスワードを暗号化して送信する」対策は通信の盗聴への対策であり、ログインの総当たりを直接止めるものではありません。試行回数の制限は総当たりへの対策です。