パスワードリスト攻撃とは？ぱすわーどりすとこうげき
パスワードリスト攻撃とは、どこかで流出したIDとパスワードの組をそのまま使い、別のサービスへログインを試みる攻撃。クレデンシャルスタッフィングとも呼ぶ。利用者が同じ組合せを複数のサービスで使い回していると、狙われた側のシステムに不備がなくても成立してしまう点が厄介になる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
文字数や記号の要求を強めるほど、利用者は覚えられる一組を使い回すようになった。攻撃側から見れば破る必要はなく、他社から漏れた正しい組を試すだけで通る。総当たり攻撃のように何度も失敗しないため、失敗回数によるアカウントロックも効きにくい。「自社のパスワード規程を厳しくすれば防げる」という発想が通じない類型として、管理側が理解しておく必要がある。
具体例
あるサービスから流出したメールアドレスとパスワードの組を、通販や会員制サイトへ次々に試し、通ったものだけを使う手順で行われる。防ぐ側は多要素認証を有効にし、普段と違う地域や端末からのログインを検知する仕組みを併せて用意する。
試験での引っ掛け
自社で定めたパスワードの強度とは無関係に成立する点が要点。長く複雑にしても、使い回していれば効果がない。同じIDに多数のパスワードを試す総当たり攻撃、同じパスワードで多数のIDを試すリバースブルートフォース攻撃とは試し方が違い、こちらは正しい組を一発で試す。対策は多要素認証と使い回しの回避で、定期的な変更の強制はいまは推奨されていない。
関連用語
出た過去問
出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問26（IPA）
パスワードリスト攻撃に該当するものはどれか。
正解：どこかのWebサイトから流出した利用者IDとパスワードのリストを用いて、他のWebサイトに対してログインを試行する。
要点：パスワードリスト攻撃は流出した認証情報の使い回しを突く
パスワードリスト攻撃は、別のサイトから流出した利用者IDとパスワードの組を、そのまま他のサイトのログインに使い回す攻撃である。多くの利用者が複数サイトで同じIDとパスワードを使い回している事実を悪用しており、正しい組合せなので試行回数が少なく、ロックアウトにもかかりにくい。対策は利用者側のパスワード使い回しの回避と、サイト側の多要素認証の導入である。
出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問26（IPA）
パスワードリスト攻撃の手口に該当するものはどれか。
正解：複数サイトで同一の利用者IDとパスワードを使っている利用者がいる状況に着目して、不正に取得した他サイトの利用者IDとパスワードの一覧表を用いて、ログインを試行する。
要点：パスワードリスト攻撃は他サイト流出の認証情報の使い回しを突く
パスワードリスト攻撃は、別のサイトから流出した利用者IDとパスワードの組を使って、他のサイトへログインを試みる攻撃である。複数サイトで同じ認証情報を使い回す利用者が一定数いることを前提にしており、少ない試行回数で成功するため検知しにくい。
出典：平成31年度 春期 情報セキュリティマネジメント試験 午前 問16（IPA）
特定のサービスやシステムから流出した認証情報を攻撃者が用いて、認証情報を複数のサービスやシステムで使い回している利用者のアカウントへのログインを試みる攻撃はどれ…
正解：パスワードリスト攻撃
要点：パスワードリスト攻撃は流出した認証情報の使い回しを突く
パスワードリスト攻撃は、他のサービスから漏えいしたIDとパスワードの組をそのまま別のサービスで試す攻撃である。正しい組合せを使うため認証は一度で成功しやすく、パスワードの使い回しをしている利用者が狙われる。桁数を増やしても防げないため、サービスごとに異なるパスワードを使うことと多要素認証の導入が対策になる。
出典：令和4年度 公開問題 情報セキュリティマネジメント試験 科目A・B 問16（IPA）
特定のサービスやシステムから流出した認証情報を攻撃者が用いて、認証情報を複数のサービスやシステムで使い回している利用者のアカウントへのログインを試みる攻撃はどれ…
正解：パスワードリスト攻撃
要点：パスワードの使い回しがリスト攻撃の成立条件
パスワードリスト攻撃は、他所から流出した利用者IDとパスワードの組をそのまま別のサービスで試すものである。同じ組合せを使い回している利用者がいる限り、少ない試行で成功するため、回数制限だけでは防ぎにくい。利用者側でのパスワード使い回しの回避と、多要素認証の導入が有効な対策になる。
出典・参考
公式シラバスの1 技術要素 ＞ 1 情報セキュリティ ＞ サイバー攻撃手法に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。