クレデンシャルスタッフィング（リスト型攻撃）とは？くれでんしゃるすたっふぃんぐりすとがたこうげき
クレデンシャルスタッフィング（リスト型攻撃）とは、別のサービスから漏れたIDとパスワードの組（クレデンシャル＝認証情報）のリストを、そのまま他のサービスのログイン画面に機械的に流し込み、同じパスワードを使い回している人のアカウントに入り込む攻撃。基本情報のシラバスでは「パスワードリスト攻撃」の名前で載っている。1つのアカウントにつき1回試すだけなので、失敗が続くとアカウントを止めるロック機能に引っかからず、正規のログインと見分けにくいのが厄介な点。
最終更新：2026-10-09
基本情報を最短で暗記・合格する →背景
サービスごとに違うパスワードを覚えるのは無理があり、多くの人が使い回す。その人間の限界を突く攻撃で、どこか1か所から漏えいしたリストが売買されるようになった2010年代に大規模化した。パスワードを複雑にしても、攻撃者は正解を持ってくるので効かない。だから対策は「使い回さない」ことと、パスワード以外のもう一つの確認（多要素認証）になる。基本情報では攻撃手法の節で名前を問い、対策を認証技術の節で問う。
具体例
大学のポータル、SNS、ネット通販で同じパスワードを使っていると、どこか1つが漏れただけで全部に入られる。iPhoneの「パスワード」設定やGoogleの「パスワードチェックアップ」は、保存してあるパスワードが既知の漏えいリストに含まれると警告する機能で、この攻撃への備えとして提供されている。サービス側では、同じIPアドレスから多数のアカウントへ短時間にログインが来る、成功率が極端に低い、といった特徴で検知する。
試験での引っ掛け
総当たり攻撃と混同しやすいが、総当たりはパスワードを長く複雑にすれば防げるのに対し、こちらは正しい組合せを既に持っているので複雑さでは防げない。連続失敗でアカウントを止めるロック機能も、1アカウント1回しか試さない相手には主対策にならない。効くのは「使い回さない」ことと多要素認証。
関連用語
出典・参考
公式シラバスの3 技術要素 ＞ 1. 情報セキュリティ ＞ (7) 攻撃手法に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。