平成29年度 春期 ITパスポート 問95（テクノロジ）
出典：平成29年度 春期 ITパスポート試験 公開問題 問95（独立行政法人情報処理推進機構（IPA））
あるWebサイトからIDとパスワードが漏えいし，そのWebサイトの利用者が別のWebサイトで，パスワードリスト攻撃の被害に遭ってしまった。このとき，Webサイトで使用していたIDとパスワードに関する問題点と思われる記述はどれか。
- アIDとパスワードを暗号化されていない通信を使ってやり取りしていた。
- イ同じIDと同じパスワードを設定していた。
- ウ種類が少ない文字を組み合わせたパスワードを設定していた。
- エ短いパスワードを設定していた。
正解と解説を見る
正解：イ
【パスワードリスト攻撃とは】
パスワードリスト攻撃は、あるWebサイトから漏えいした利用者IDとパスワードの組の一覧（リスト）を使って、別のWebサイトにログインを試みる攻撃です。多くの利用者が、複数のWebサイトで同じIDとパスワードを使い回しているため、1つのサイトから漏えいすると、ほかのサイトでも不正にログインされてしまいます。対策は、Webサイトごとに異なるパスワードを設定することです。
【選択肢の検討】
ア：暗号化されていない通信でやり取りしていた場合は、盗聴でIDとパスワードを盗まれるおそれがありますが、この事例の問題点ではありません。
イ：複数のWebサイトで同じIDと同じパスワードを設定していたので、漏えいしたIDとパスワードを別のサイトで使われました。これが問題点です。
ウ：種類の少ない文字の組合せのパスワードは、総当たり攻撃などで破られやすい問題点ですが、この事例の原因ではありません。
エ：短いパスワードも、総当たり攻撃などで破られやすい問題点ですが、この事例の原因ではありません。
よって、正解は選択肢イです。