あるWebサービスで、同じ利用者IDのログインが続けて一定回数失敗したら、 そのIDを一時的に使えなくする仕組みを導入した。この仕組みが特に効果を 発揮する攻撃はどれか。

正解：ア

各選択肢の解説

1. ア考えられる文字の組合せを機械的に次々と試し、パスワードを探り当てる攻撃。

   正解。総当たり攻撃(ブルートフォース攻撃)は、当たるまで何度も失敗を 繰り返すことで成り立ちます。失敗が続いた時点で受付をやめてしまえば、 試せる回数に上限ができ、攻撃は成立しなくなります。

2. イ他社から流出したIDとパスワードの組を、別のサイトでそのまま試す攻撃。

   誤り。これはパスワードリスト攻撃です。試すのは実際に使われていた 正しい組合せなので、1つのIDにつき1回試せば済み、失敗の回数が上限に 達しにくいという違いがあります。ロックだけでは止めきれません。

3. ウ入力中のパスワードを背後からのぞき見て、本人になりすます攻撃。

   誤り。これはショルダーハッキングで、ソーシャルエンジニアリングの一種です。 攻撃者は正しいパスワードを見たうえで入力するため、そもそも失敗が 発生せず、回数を数える仕組みには引っかかりません。

4. エ本物そっくりの偽サイトへ誘導し、利用者自身に認証情報を入力させる攻撃。

   誤り。これはフィッシングです。入力が行われるのは攻撃者が用意した 偽サイトなので、本物のサービス側には失敗の記録が残りません。 正規サイトでの回数制限では検知も防止もできません。

理解を深めるために