パスワードリスト攻撃とは？ぱすわーどりすとこうげき
パスワードリスト攻撃とは、どこかのサービスから流出したIDとパスワードの組み合わせをそのまま別のサービスのログインに使い、同じ組み合わせを使い回している利用者のアカウントへ侵入する攻撃。1つのIDにつき1回しか試さないため、失敗が続いたら止めるアカウントロックにも引っかかりにくい。ITパスポートでは、対策が「サービスごとに違うパスワードを使うこと」と「多要素認証」（パスワードに加えてワンタイムパスワードや指紋など別の種類の確認を組み合わせる認証）である点まで問われる。
最終更新：2026-10-10
この語が出る過去問を解く →背景
攻撃側から見ると、当てずっぽうで文字を総当たりするのは効率が悪い。ところが世の中には流出した認証情報が大量に出回っており、しかも多くの人が複数のサービスで同じパスワードを使っている。すでに「どこかで正解だった組み合わせ」を別の場所で試す方が、はるかに当たる確率が高い。利用者側の使い回しという習慣そのものが、この攻撃を成り立たせている。
具体例
ある通販サイトから10万人分のIDとパスワードが流出すると、攻撃者はそれを銀行やポイントサービスのログイン画面へ順に入力していく。使い回していた人が1%いれば1,000件が突破される。利用者から見ると、自分は通販サイト以外に何も漏らしていないのに、別のサービスのアカウントが乗っ取られる形になる。
試験での引っ掛け
総当たり攻撃（ブルートフォース攻撃）や辞書攻撃との違いが出題点。総当たりや辞書攻撃はパスワードを推測する攻撃なので、桁数を増やし文字の種類を混ぜることが対策になるが、パスワードリスト攻撃は正解そのものを持ち込む攻撃なので、どれほど複雑なパスワードにしても使い回していれば防げない。アカウントロックも、1件につき1回しか試さないため効きにくい。有効なのはサービスごとに違うパスワードを使うことと、ワンタイムパスワードなどを加えた多要素認証である。
関連用語
出た過去問
出典：平成29年度 春期 ITパスポート試験 問95（IPA）
あるWebサイトからIDとパスワードが漏えいし，そのWebサイトの利用者が別のWebサイトで，パスワードリスト攻撃の被害に遭ってしまった。このとき，Webサイト…
正解：同じIDと同じパスワードを設定していた。
要点：パスワードリスト攻撃の原因は複数サイトでの使い回し
パスワードリスト攻撃は、どこかで漏えいしたIDとパスワードの組をそのまま別のサイトで試す手法である。被害が別サイトに及んだということは、複数のサイトで同じIDとパスワードを使い回していたことが直接の原因と考えられる。パスワードの長さや文字種は総当たり攻撃への強さの問題であり、この攻撃では強いパスワードでも使い回していれば通用してしまう。
出典：令和4年度 秋期 ITパスポート試験 問95（IPA）
攻撃対象とは別のWebサイトから盗み出すなどによって，不正に取得した大量の認証情報を流用し，標的とするWebサイトに不正に侵入を試みるものはどれか。
正解：パスワードリスト攻撃
要点：パスワードリスト攻撃は流出した認証情報の使い回しを突く
パスワードリスト攻撃は、他のサイトから流出したIDとパスワードの一覧をそのまま別のサイトのログインに試す攻撃です。同じ組合せを複数サービスで使い回している利用者が狙われるため、サービスごとに異なるパスワードを設定することが対策になります。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。