パスワードリスト攻撃とは？ぱすわーどりすとこうげき
パスワードリスト攻撃（クレデンシャルスタッフィング）とは、他のサイトから漏えいしたIDとパスワードの組を、そのまま別のサイトのログインへ試す攻撃。利用者の使い回しに乗るので1アカウントあたり1〜2回の試行で当たることがあり、失敗回数が伸びないためアカウントロックにも失敗率の監視にも掛かりにくい。
最終更新：2026-10-06
この語が出る過去問を解く →背景
人が覚えられるパスワードの数には限りがあるので、利用するサービスが増えるほど使い回しが起きる。攻撃側から見れば、1つのサイトの漏えいが他の全サイトの合鍵になるということで、破られる側に落ち度が無くても突破される。認証を知識だけに頼る限りこの構造は解けず、多要素認証やパスキーへの移行が進んだ。応用情報では攻撃手法の名前と有効な対策の対応が問われる。
具体例
対策としては、認証アプリを加えた多要素認証、Have I Been Pwnedのような漏えい済みパスワードの照合サービスを使った設定時の拒否、端末に紐づく公開鍵で認証するパスキー（FIDO2）の採用がある。GoogleやAppleのアカウントは、これらのいずれかを既定で要求する運用になっている。
試験での引っ掛け
1つのパスワードを多数のIDへ試すリバースブルートフォース攻撃、辞書の単語を順に試す辞書攻撃との区別が問われる。アカウントロックはこの攻撃にほとんど効かないうえ、大量のIDを1回ずつ試されると正規の利用者を締め出すDoSとして悪用される点も引っ掛けになる。
関連用語
出た過去問
出典：令和6年度 秋期 応用情報技術者試験 午前 問40（IPA）
パスワードリスト攻撃に該当するものはどれか。
正解：どこかのWebサイトから流出した利用者IDとパスワードのリストを用いて、他のWebサイトに対してログインを試行する。
要点：パスワードリスト攻撃は流出した資格情報を別サイトで使い回す
パスワードリスト攻撃は、他のサイトから漏えいした利用者IDとパスワードの組をそのまま用いて、別のサイトへログインを試みる攻撃である。同じ資格情報を複数サービスで使い回している利用者が被害に遭う。対策は使い回しの禁止と多要素認証の導入である。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。