パスワードリスト攻撃とは？
パスワードリスト攻撃とは、他のサービスから流出したID・パスワードの組み合わせのリストを使い、別のサービスへログインを試みる攻撃手法。利用者が複数サービスで同じID・パスワードを使い回していると成立してしまう。
情報セキュリティマネジメント試験の過去問では4回出題されています（2016年度〜2022年度）。
ぱすわーどりすとこうげき
パスワードリスト攻撃の意味
他のサービスから流出したID・パスワードの組み合わせのリストを使い、別のサービスへログインを試みる攻撃手法。利用者が複数サービスで同じID・パスワードを使い回していると成立してしまう。
パスワードリスト攻撃の具体例
あるECサイトから流出したメールアドレスとパスワードの組を使い、同じ組み合わせで別の会員制サイトへのログインを次々に試す事例がある。
パスワードリスト攻撃は試験でどう引っ掛けられる？
個々のサービスのパスワード強度とは無関係に、「使い回し」自体が原因で成立する点が問われる。対策は多要素認証の導入とパスワードの使い回し回避。
パスワードリスト攻撃と関連する用語
パスワードリスト攻撃が出た過去問
パスワードリスト攻撃に該当するものはどれか。
正解：どこかのWebサイトから流出した利用者IDとパスワードのリストを用いて、他のWebサイトに対してログインを試行する。
要点：パスワードリスト攻撃は流出した認証情報の使い回しを突く
パスワードリスト攻撃は、別のサイトから流出した利用者IDとパスワードの組を、そのまま他のサイトのログインに使い回す攻撃である。多くの利用者が複数サイトで同じIDとパスワードを使い回している事実を悪用しており、正しい組合せなので試行回数が少なく、ロックアウトにもかかりにくい。対策は利用者側のパスワード使い回しの回避と、サイト側の多要素認証の導入である。
出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問26（IPA）パスワードリスト攻撃の手口に該当するものはどれか。
正解：複数サイトで同一の利用者IDとパスワードを使っている利用者がいる状況に着目して、不正に取得した他サイトの利用者IDとパスワードの一覧表を用いて、ログインを試行する。
要点：パスワードリスト攻撃は他サイト流出の認証情報の使い回しを突く
パスワードリスト攻撃は、別のサイトから流出した利用者IDとパスワードの組を使って、他のサイトへログインを試みる攻撃である。複数サイトで同じ認証情報を使い回す利用者が一定数いることを前提にしており、少ない試行回数で成功するため検知しにくい。
出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問26（IPA）特定のサービスやシステムから流出した認証情報を攻撃者が用いて、認証情報を複数のサービスやシステムで使い回している利用者のアカウントへのログインを試みる攻撃はどれ…
正解：パスワードリスト攻撃
要点：パスワードリスト攻撃は流出した認証情報の使い回しを突く
パスワードリスト攻撃は、他のサービスから漏えいしたIDとパスワードの組をそのまま別のサービスで試す攻撃である。正しい組合せを使うため認証は一度で成功しやすく、パスワードの使い回しをしている利用者が狙われる。桁数を増やしても防げないため、サービスごとに異なるパスワードを使うことと多要素認証の導入が対策になる。
出典：令和1年度 春期 情報セキュリティマネジメント試験 午前 問16（IPA）特定のサービスやシステムから流出した認証情報を攻撃者が用いて、認証情報を複数のサービスやシステムで使い回している利用者のアカウントへのログインを試みる攻撃はどれ…
正解：パスワードリスト攻撃
要点：パスワードの使い回しがリスト攻撃の成立条件
パスワードリスト攻撃は、他所から流出した利用者IDとパスワードの組をそのまま別のサービスで試すものである。同じ組合せを使い回している利用者がいる限り、少ない試行で成功するため、回数制限だけでは防ぎにくい。利用者側でのパスワード使い回しの回避と、多要素認証の導入が有効な対策になる。
出典：令和4年度 s 情報セキュリティマネジメント試験 kamokuAB 問16（IPA）
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。