フィッシング対策とパスワードリスト攻撃対策とは？ふぃっしんぐたいさくとぱすわーどりすとこうげきたいさく
フィッシング対策とパスワードリスト攻撃対策とは、偽サイトで詐取した資格情報や、他所で漏れたID・パスワードの組を使い回し先で試す攻撃への備え。会員認証を自前で持つ設計では、パスワードを復元できる形で保存せず利用者ごとの塩を付けた低速ハッシュで持ち、失敗の記録を利用者と接続元の両面で数えられる表をあらかじめ用意しておく必要がある。
最終更新：2026-10-06
データベースSPを最短で暗記・合格する →背景
利用者はパスワードを使い回すという前提は外せない。攻撃側は漏えいリストを持ち、1つのIDへ大量に試すのではなく多数のIDへ1回ずつ試すため、旧来のアカウントロックの閾値には引っかからない。そのため対策は、パスワードの複雑さを求める方向ではなく、保存の仕方（漏れても復元させない）と、試行を横断的に数えて検知する方向へ移った。認証まわりの表設計はそのまま出題対象になる。
具体例
bcrypt をコスト12で使うと1回の照合に約0.25秒かかり、1台では毎秒4回しか試せないので総当たりが割に合わない。加えて試行表に利用者ID・接続元IP・時刻・成否を持ち、IP単位の失敗率で遮断する。この表は時刻列の索引が効く反面、書き込みが一点に集中する。
試験での引っ掛け
パスワードリスト攻撃は「1つのIDへ大量試行」ではなく「多数のIDへ少数試行」なので、アカウントロックだけでは止まらない。複雑なパスワードでも使い回していれば無力。ハッシュ化と暗号化の取り違えも定番で、保存したものが復元できてはいけない。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。