クレデンシャルスタッフィング（リスト型攻撃）とは？くれでんしゃるすたっふぃんぐりすとがたこうげき
クレデンシャルスタッフィング（リスト型攻撃）とは、他のサービスから漏れたIDとパスワードの一覧を使い、自社のログイン画面へ次々に試して、使い回している利用者のアカウントへ正規の手続きで入り込む攻撃。1つのアカウントには1回しか試さないためアカウントロックに掛からず、認証ログの上では正しいログインに見えることが、検知を難しくしている。
最終更新：2026-10-06
情報セキュリティマネジメントを最短で暗記・合格する →背景
利用者が同じパスワードを複数のサイトで使い回すかぎり、どこか一社の漏えいが他社へ波及する。自社は何も漏らしていなくても被害の側に立たされる点が、「自社の守りを固める」だけの発想では防げない理由である。シラバスではパスワードリスト攻撃の別名でも挙げられている。
具体例
通販サイトで、身に覚えのない注文やポイント交換の申告が同時期に複数の利用者から上がる形で表面化する。管理者は該当アカウントのパスワード強制変更と注意喚起を出しつつ、多要素認証の導入を要求事項として情報システム部門へ上げ、個人データを見られた可能性があれば個人情報保護委員会への報告要否を経営層へ諮る。
試験での引っ掛け
総当たり（ブルートフォース）攻撃と対で押さえる。総当たりは正しい組合せを知らずに片端から試すのでパスワードを長く複雑にすれば防げるが、リスト型は正しい組合せを既に持っているので複雑さでは防げない。よって文字種の強制やアカウントロックは主対策にならず、多要素認証と使い回しの禁止が本命。
関連用語
出典・参考
公式シラバスの1 技術要素 ＞ 1 情報セキュリティ ＞ サイバー攻撃手法に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。