パスワードリスト攻撃とは？ぱすわーどりすとこうげき
パスワードリスト攻撃とは、他のサービスから流出したIDとパスワードの組を、そのまま別のサービスへ当てにいく攻撃。1アカウントあたりの試行が1回か数回で済むので、アカウントロックや連続失敗回数のしきい値には引っかからない。使い回している利用者だけが確実に破られ、パスワードの強度は防御にならない。
最終更新：2026-10-06
ネットワークSPを最短で暗記・合格する →背景
総当たりや辞書攻撃は、ロックアウトと文字数の強制でほぼ通らなくなった。そこで攻撃側は、破る対象をパスワードそのものから「同じ組を別のサイトでも使う」という人間の習慣へ移した。流出データが大量に出回るようになり、当てずっぽうではなく実在する組だけを試せるようになったことで、1アカウントあたりの試行を極端に減らせる。ネスペでは、認証基盤の設計と、境界機器のログからどう気づくかという運用面で問われる。
具体例
数万件のリストを、送信元アドレスを分散させながら1アカウント1回ずつ投げられると、認証サーバのログでは失敗がわずかに増えたようにしか見えない。気づくには、アカウント単位のしきい値ではなく、単位時間あたりの失敗率、送信元アドレスの地理やAS番号の偏り、成功したIDの接続元の散らばりを相関させる必要がある。
試験での引っ掛け
総当たり攻撃と同じ対策を選ぶと外す。正しいパスワードを既に持たれているので、文字種や長さの強制は効かない。送信元が分散していればレート制限も発動しない。効くのは多要素認証と、流出リストとの突合による使い回しの検出であり、ロックアウトの強化はほとんど効果がない。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。