サイバー攻撃手法・脆弱性分析 重要度:★★★出題: AM2・PM1
パスワードリスト攻撃 と ブルートフォース / リバースブルートフォース攻撃
ぱすわーどりすとこうげき / りばーすぶるーとふぉーす / Credential Stuffing (Password List Attack) / Brute-Force / Password Spraying
他社サービスから漏洩したID・パスワードの組を流用して不正ログインを試みるパスワードリスト攻撃と、アカウントロックを回避しながら推測試行するリバースブルートフォース。
3行速習ポイント
- パスワードリスト攻撃（Credential Stuffing）：利用者のパスワード使い回しを悪用するため、1アカウントあたりの失敗回数が少なくアカウントロック閾値に引っかかりにくい
- リバースブルートフォース（パスワードスプレー攻撃）：「1つのよく使われるパスワード（例：Password123!）」を固定し、多数の利用者IDに対して1回ずつ試行することでアカウントロックを回避
- 対策は多要素認証（MFA）・パスキーの導入、リスクベース認証（普段と異なるIP・端末・時間帯での追加認証）、ボット検知（WAF/CAPTCHA/IPレート制限）
図解
図ログイン認証を狙う3大攻撃手口の特徴と検知・防御策
1 ID × 多PW
ブルートフォース（総当たり・辞書攻撃）
特定の1つのIDに対して多数のパスワードを連続試行
【ログ特徴】同一IDへの連続ログイン失敗。【対策】一定回数失敗時のアカウントロック、ストレッチング、試行遅延制御
多ID × 1 PW
リバースブルートフォース（パスワードスプレー）
1つの定番パスワードを固定し多数のIDに対して1回ずつ試行
【ログ特徴】各IDの失敗は1回のためアカウントロックを回避。【対策】送信元IP単位やシステム全体の単位時間あたり失敗総数での監視・WAF遮断
漏洩ID・PW流用
パスワードリスト攻撃 (Credential Stuffing)
他社漏洩のID・PWペアをそのまま入力（使い回し悪用）
【ログ特徴】通常よりログイン成功率が異常に高い。【対策】多要素認証（MFA）・パスキー導入、リスクベース認証、漏洩パスワードチェック
💡 アカウント単位のロックだけではリバースブルートフォースやパスワードリスト攻撃を防げないため、送信元IP単位監視・リスクベース認証・MFAが必須
概要と本質
ログイン認証を狙う3大攻撃（ブルートフォース、リバースブルートフォース、パスワードリスト攻撃）の試行パターンと検知指標の違いは、セキスペ試験の超定番テーマです。ログ上の「同一IDへの連続失敗」か「同一送信元IPから異なる多数IDへの連続失敗」かを見極める力が求められます。
重要ポイント・コア概念
- パスワードリスト攻撃のログ特徴：試行されるID・パスワードがバラバラで、通常のブルートフォースよりログイン成功率が有意に高い
- リバースブルートフォースの検知：アカウント単位の失敗回数ではなく、「送信元IPアドレス単位」または「システム全体の単位時間あたりログイン失敗総数」で監視・遮断する
- NIST SP 800-63Bのパスワード指針：定期的なパスワード強制変更はかえって推測しやすいパスワードを生むため不要とし、漏洩パスワードリスト（ブラックリスト）との照合を推奨
午後記述・情報セキュリティ対策での攻略ポイント
午前II・午後ともに頻出。「アカウントロック機能を導入しているのに不正ログインを防げなかった理由（リバースブルートフォースやパスワードリスト攻撃だったため）」「NIST SP 800-63Bにおけるパスワード定期変更不要論」は必ず押さえましょう。
午後記述で使える加点キーワード（クリックでコピー）
関連する重要用語
この用語が出題された過去問を解く（1分演習）
即時アウトプットで定着情報処理安全確保支援士 過去問演習で実践力を鍛える
