パスワードリスト攻撃とは？

パスワードリスト攻撃とは、他サイトから漏えいしたIDとパスワードの組を、そのまま別のサイトのログインに試す攻撃。利用者がパスワードを使い回していることを前提にするため、少ない試行回数で正しい組合せに当たり、通常の総当たりより検知されにくい。

応用情報技術者試験の過去問では1回出題されています。

ぱすわーどりすとこうげき

応用情報技術者試験の頻出用語／テクノロジ系

パスワードリスト攻撃の意味

他サイトから漏えいしたIDとパスワードの組を、そのまま別のサイトのログインに試す攻撃。利用者がパスワードを使い回していることを前提にするため、少ない試行回数で正しい組合せに当たり、通常の総当たりより検知されにくい。

大量のIPアドレスから、1アカウントにつき1〜2回だけ試行するのでアカウントロックの閾値に達しない。対策は多要素認証の導入、漏えい済みパスワードとの照合による設定拒否、ログイン失敗率の全体傾向の監視。

1つのパスワードを多数のIDへ試すリバースブルートフォースとの区別が問われる。アカウントロックはこの攻撃にほぼ効かず、逆に正規利用者を締め出すDoSに悪用される恐れもある。

パスワードリスト攻撃に該当するものはどれか。
正解：どこかのWebサイトから流出した利用者IDとパスワードのリストを用いて、他のWebサイトに対してログインを試行する。
要点：パスワードリスト攻撃は流出した資格情報を別サイトで使い回す
パスワードリスト攻撃は、他のサイトから漏えいした利用者IDとパスワードの組をそのまま用いて、別のサイトへログインを試みる攻撃である。同じ資格情報を複数サービスで使い回している利用者が被害に遭う。対策は使い回しの禁止と多要素認証の導入である。
出典：令和6年度秋期応用情報技術者試験午前問40（IPA）

最終更新：2026-08-25／解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。