パスワードリスト攻撃とは？
パスワードリスト攻撃とは、どこかのサービスから流出したIDとパスワードの組をそのまま別のサービスのログインに使い回して侵入を試みる攻撃。利用者の使い回しを悪用する。FEでは対策が利用者側のパスワード使い回し防止と多要素認証である点が問われる。
ITパスポートの過去問では2回出題されています（2017年度〜2022年度）。
ぱすわーどりすとこうげき
パスワードリスト攻撃の意味
どこかのサービスから流出したIDとパスワードの組をそのまま別のサービスのログインに使い回して侵入を試みる攻撃。利用者の使い回しを悪用する。FEでは対策が利用者側のパスワード使い回し防止と多要素認証である点が問われる。
パスワードリスト攻撃の具体例
通販サイトAから10万件の認証情報が流出すると、攻撃者はそれを銀行サイトBへ順に試す。1%が使い回していれば1000件が突破される。1組につき1回しか試さないため、アカウントロックにも引っかかりにくい。
パスワードリスト攻撃は試験でどう引っ掛けられる？
総当たり攻撃や辞書攻撃と違い「正解の可能性が高い候補を1回だけ試す」ため、桁数を増やしたり複雑な文字を使ったりしても防げない。アカウントロックやパスワードの複雑さ要件は対策として弱い。
パスワードリスト攻撃と関連する用語
パスワードリスト攻撃が出た過去問
あるWebサイトからIDとパスワードが漏えいし，そのWebサイトの利用者が別のWebサイトで，パスワードリスト攻撃の被害に遭ってしまった。このとき，Webサイト…
正解：同じIDと同じパスワードを設定していた。
要点：パスワードリスト攻撃の原因は複数サイトでの使い回し
パスワードリスト攻撃は、どこかで漏えいしたIDとパスワードの組をそのまま別のサイトで試す手法である。被害が別サイトに及んだということは、複数のサイトで同じIDとパスワードを使い回していたことが直接の原因と考えられる。パスワードの長さや文字種は総当たり攻撃への強さの問題であり、この攻撃では強いパスワードでも使い回していれば通用してしまう。
出典：平成29年度 春期 ITパスポート試験 問95（IPA）攻撃対象とは別のWebサイトから盗み出すなどによって，不正に取得した大量の認証情報を流用し，標的とするWebサイトに不正に侵入を試みるものはどれか。
正解：パスワードリスト攻撃
要点：パスワードリスト攻撃は流出した認証情報の使い回しを突く
パスワードリスト攻撃は、他のサイトから流出したIDとパスワードの一覧をそのまま別のサイトのログインに試す攻撃です。同じ組合せを複数サービスで使い回している利用者が狙われるため、サービスごとに異なるパスワードを設定することが対策になります。
出典：令和4年度 秋期 ITパスポート試験 問95（IPA）
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。