あるWebサービスで、多数の異なるIPアドレスから、それぞれ別の利用者のIDとパスワードの組で、ログインが大量に試みられ、一部が成功した。試された組の多くは、ほかのサービスから漏えいしたものと一致していた。この攻撃の名前はどれか。

正解：B. パスワードリスト攻撃(クレデンシャルスタッフィング)

パスワードリスト攻撃は、ほかのサービスから漏えいしたIDとパスワードの組を使って、別のサービスへのログインを試す攻撃で、同じパスワードを複数のサービスで使い回している利用者が被害を受けます。1つのIDに対する試行は少ないため、IDごとの失敗の回数でロックする対策では防ぎにくく、送信元のIPアドレスも分散されます。対策は、利用者に多要素認証を使ってもらうこと、漏えいが知られているパスワードの登録を拒むこと、ログインの成功や失敗の傾向、自動化されたアクセスの特徴を監視することです。

• A. パスワードスプレー攻撃は、少数のよく使われるパスワードを多くのIDに試すもので、漏えいした組をそのまま使うものではありません。
• B. 正しい。漏えいしたIDとパスワードの組を、使い回しをねらって試す攻撃です。
• C. 総当たり攻撃は、1つのIDにすべての組み合わせを試すもので、漏えいした組を使うものではありません。