パスワードリスト攻撃とは？ぱすわーどりすとこうげき
パスワードリスト攻撃とは、セキュリティ分野の語で、攻撃者が「正解を探す」のではなく「他所で漏れた正解を持ち込んで試す」型の不正ログイン。攻撃者はどこかのサービスから流出したIDとパスワードの一覧を入手し、それを別のサービスの正規のログイン画面へ淡々と入力していく。当たるのは使い回している利用者だけだが、当たったログインは正しい資格情報による正常なログインとして記録されるため、失敗が積み上がらず気付きにくい。認証が専門外の受験者は総当たりと混同しやすいので、試行回数が桁違いに少ない点で区別する。
最終更新：2026-10-07
高度試験の午前Iを最短で暗記する →背景
総当たり攻撃はアカウントロックと長いパスワードでほぼ封じられたが、封じたのは「正解を探す試行の量」であって「正解をすでに知っている攻撃」ではない。漏えい情報が大量に流通し、利用者が数十のサービスで同じパスワードを使う現実の下では、攻撃側は1アカウントにつき1〜2回試すだけでよい。防御側が置いていた前提（攻撃には大量の試行が伴う）が崩れている点が、この攻撃の厄介さである。
具体例
攻撃側は大量のIPアドレスに分散して、1アカウントにつき1〜2回だけ試行するのでアカウントロックの閾値に達しない。防御側の対策は、多要素認証の導入、漏えい済みパスワードとの照合による設定拒否、そして個々のアカウントではなくログイン失敗率の全体傾向を監視することになる。
試験での引っ掛け
1つのパスワードを多数のIDへ試すリバースブルートフォース攻撃との区別が問われる。またアカウントロックはこの攻撃にほぼ効かず、逆に正規利用者を締め出すサービス妨害に悪用される恐れがある点も引っ掛けになる。「パスワードを定期的に変更させる」ことも、使い回しが続く限り有効な対策にはならない。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。