フィッシング対策とパスワードリスト攻撃対策とは？ふぃっしんぐたいさくとぱすわーどりすとこうげきたいさく
フィッシング対策とパスワードリスト攻撃対策とは、利用者を騙して認証情報を渡させる経路と、他所で漏えいした組を使い回し先で試す経路の、二つの入口を塞ぐ設計。判断の軸は「利用者の注意力に頼らない仕組みをどこまで積むか」で、多要素認証やパスキーは原理的な耐性を得る代わりに、離脱率・端末紛失時の再発行・問合せ対応という運用コストを払う。
最終更新：2026-10-06
システムアーキテクトを最短で暗記・合格する →背景
パスワードは「本人しか知らない」という前提の上でだけ機能するが、使い回しと詐取によってこの前提はすでに成立していない。所持（端末）や生体を足すのは、知識という単一の前提に集中したリスクを分散させる設計変更である。SAで問われるのは方式名の暗記ではなく、ID基盤を自前で持つか外部のIdPへ寄せるかを、可用性・保守性と利用者の手間の両面から根拠付きで選べることになる。
具体例
FIDO2／パスキーは認証をドメインに束縛するため、偽サイトでは鍵そのものが使えず、利用者の目視判断に依存しない。Google が全社員へセキュリティキーの利用を必須化し、以後フィッシング起因の乗っ取りが起きていないと公表した例が、この原理的な違いを示している。
試験での引っ掛け
パスワードリスト攻撃は「1つのIDへ大量試行する総当たり」ではなく「多数のIDへ少数ずつ試行する」形なので、ID単位のアカウントロックでは止まらず、送信元やID群の分布側で見る必要がある。またパスワードをどれだけ長く複雑にしても、他所と使い回していれば強度は効かない。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。