パスワードリスト攻撃とは？
パスワードリスト攻撃とは、どこかのサービスから流出したIDとパスワードの組をそのまま別のサービスのログインに使い回して侵入を試みる攻撃。利用者の使い回しを悪用する。FEでは対策が利用者側のパスワード使い回し防止と多要素認証である点が問われる。
基本情報技術者試験の過去問では2回出題されています（2016年度〜2019年度）。
ぱすわーどりすとこうげき
パスワードリスト攻撃の意味
どこかのサービスから流出したIDとパスワードの組をそのまま別のサービスのログインに使い回して侵入を試みる攻撃。利用者の使い回しを悪用する。FEでは対策が利用者側のパスワード使い回し防止と多要素認証である点が問われる。
パスワードリスト攻撃の具体例
通販サイトAから10万件の認証情報が流出すると、攻撃者はそれを銀行サイトBへ順に試す。1%が使い回していれば1000件が突破される。1組につき1回しか試さないため、アカウントロックにも引っかかりにくい。
パスワードリスト攻撃は試験でどう引っ掛けられる？
総当たり攻撃や辞書攻撃と違い「正解の可能性が高い候補を1回だけ試す」ため、桁数を増やしたり複雑な文字を使ったりしても防げない。アカウントロックやパスワードの複雑さ要件は対策として弱い。
パスワードリスト攻撃と関連する用語
パスワードリスト攻撃が出た過去問
別のサービスやシステムから流出したアカウント認証情報を用いて，アカウント認証情報を使い回している利用者のアカウントを乗っ取る攻撃はどれか。
正解：パスワードリスト攻撃
要点：パスワードリスト攻撃は使い回しを突く、漏えい情報の再利用
パスワードリスト攻撃は、他のサービスから漏えいしたIDとパスワードの組をそのまま別のサービスで試す攻撃である。利用者が同じ認証情報を複数サイトで使い回していると、一度の漏えいが他のサービスの乗っ取りに直結する。総当たりと違い正解の候補が既知なので、少ない試行で成功しやすい。
出典：平成28年度 秋期 基本情報技術者試験 午前 問44（IPA）パスワードリスト攻撃の手口に該当するものはどれか。
正解：複数サイトで同一の利用者IDとパスワードを使っている利用者がいる状況に着目して、不正に取得した他サイトの利用者IDとパスワードの一覧表を用いて、ログインを試行する。
要点：パスワードリスト攻撃は他サイト流出の組合せを使い回す
パスワードリスト攻撃は、別のサイトから漏えいしたIDとパスワードの組をそのまま使い、他のサイトへログインを試みる手口である。同じ組合せを複数のサイトで使い回している利用者がいることを狙う点が特徴で、正しい組合せを試すため試行回数が少なく検知されにくい。使い回しをやめることが最も有効な対策になる。
出典：令和1年度 春期 基本情報技術者試験 午前 問37（IPA）
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。