パスワードリスト攻撃とは？
パスワードリスト攻撃とは、他サイトから漏えいしたIDとパスワードの組を、そのまま別のサイトのログインに試す攻撃。利用者がパスワードを使い回していることを前提にするため、少ない試行回数で正しい組合せに当たり、通常の総当たりより検知されにくい。
応用情報技術者試験の過去問では1回出題されています。
ぱすわーどりすとこうげき
パスワードリスト攻撃の意味
他サイトから漏えいしたIDとパスワードの組を、そのまま別のサイトのログインに試す攻撃。利用者がパスワードを使い回していることを前提にするため、少ない試行回数で正しい組合せに当たり、通常の総当たりより検知されにくい。
パスワードリスト攻撃の具体例
大量のIPアドレスから、1アカウントにつき1〜2回だけ試行するのでアカウントロックの閾値に達しない。対策は多要素認証の導入、漏えい済みパスワードとの照合による設定拒否、ログイン失敗率の全体傾向の監視。
パスワードリスト攻撃は試験でどう引っ掛けられる？
1つのパスワードを多数のIDへ試すリバースブルートフォースとの区別が問われる。アカウントロックはこの攻撃にほぼ効かず、逆に正規利用者を締め出すDoSに悪用される恐れもある。
パスワードリスト攻撃と関連する用語
パスワードリスト攻撃が出た過去問
パスワードリスト攻撃に該当するものはどれか。
正解：どこかのWebサイトから流出した利用者IDとパスワードのリストを用いて、他のWebサイトに対してログインを試行する。
要点：パスワードリスト攻撃は流出した資格情報を別サイトで使い回す
パスワードリスト攻撃は、他のサイトから漏えいした利用者IDとパスワードの組をそのまま用いて、別のサイトへログインを試みる攻撃である。同じ資格情報を複数サービスで使い回している利用者が被害に遭う。対策は使い回しの禁止と多要素認証の導入である。
出典：令和6年度 秋期 応用情報技術者試験 午前 問40（IPA）
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。