パスワードリスト攻撃とは？仕組みと対策をわかりやすく解説【IPA試験対策】

対象試験と出題頻度

用語の定義

パスワードリスト攻撃とは、一言で言うと「どこかのサービスで流出したID・パスワードの組み合わせを使って、別のサービスに不正ログインを試みる攻撃」のことです。

イメージとしては、「Aさんの家の合鍵を手に入れた泥棒が、『同じ鍵を会社や車にも使っているかも』と考えて、次々と試してみる」ようなものです。
多くの人が複数のサービスで同じパスワードを使い回しているため、1か所で流出すると芋づる式に他のサービスも突破されてしまう危険な攻撃です。

解説

パスワードリスト攻撃（Password List Attack / Credential Stuffing）は、過去にどこかのWebサービスから流出したID（メールアドレス）とパスワードの組み合わせリストを使って、別のサービスへの不正ログインを試みる攻撃です。「クレデンシャルスタッフィング」「アカウントリスト攻撃」とも呼ばれます。

• ブルートフォース攻撃・辞書攻撃との違い：ブルートフォース攻撃や辞書攻撃はパスワードを「推測」しますが、パスワードリスト攻撃は実際に使われていた正しいパスワードを使います。そのため、複雑なパスワードでも使い回していれば突破されてしまいます。
• 高い成功率：調査によると、約65%のユーザーが複数のサービスで同じパスワードを使い回しているとされています。そのため、流出リストを使った攻撃は0.1〜2%程度の成功率があり、数百万件のリストを使えば数万件の不正ログインが成功してしまいます。

近年、大規模な情報漏えい事件が頻発しており、数億件規模のID・パスワードがダークウェブ上で売買されています。Have I Been Pwnedというサービスによると、2024年時点で100億件以上のアカウント情報が流出・公開されているとされています。攻撃者はこれらのリストを自動化ツールで大量に試行するため、流出から数時間で被害が発生することもあります。

具体的な活用例・対策

パスワードリスト攻撃への対策は、パスワードの使い回しをやめることが最も重要です。

システム側の対策も組み合わせることで、被害を防げます。

• サービスごとに異なるパスワードを設定： 最も根本的な対策です。すべてのサービスで異なるパスワードを使用すれば、1か所で流出しても他のサービスに影響しません。パスワードマネージャーを活用すると、複雑なパスワードを各サービス用に生成・管理できます。
• 多要素認証（MFA）の有効化： パスワードに加えて、ワンタイムパスワード、生体認証、セキュリティキーなどを設定します。たとえパスワードが流出しても、追加認証を突破できなければ不正ログインを防げます。最も効果的な対策です。
• 流出チェックサービスの活用： 「Have I Been Pwned」などのサービスで、自分のメールアドレスやパスワードが過去の漏えい事件に含まれていないか確認できます。流出が判明したら、即座にパスワードを変更しましょう。
• パスワードの定期的な確認・変更： 重要なサービス（金融機関、メールなど）のパスワードは定期的に確認し、流出の兆候があれば変更します。
• ログイン通知の有効化： 新しいデバイスや場所からのログイン時に通知を受け取る設定を有効にし、不正アクセスを早期に検知します。

試験ではこう出る！

ITパスポート、情報セキュリティマネジメント、基本情報技術者、応用情報技術者で頻出です。

以下のキーワードとセットで覚えましょう。

【確認テスト】理解度チェック

ここまでの内容を理解できたか、簡単なクイズで確認してみましょう。