パスワードリスト攻撃とは？仕組みと防ぎ方をITパスポート向けに解説

結論：パスワードリスト攻撃とは、他のサービスから漏えいしたIDとパスワードの組合せを使い、別のサービスへのログインを試す攻撃です。同じパスワードを使い回すほど被害が広がりやすいため、サービスごとに異なるパスワードを設定し、多要素認証を有効にすることが重要です。

パスワードリスト攻撃とは

パスワードリスト攻撃では、攻撃者は当てずっぽうに文字列を試すのではなく、すでに入手された認証情報の組合せを利用します。別のサービスで同じメールアドレスとパスワードを使っている利用者がいれば、正しい組合せのままログインされる可能性があります。

この攻撃で問題になるのは、サービス側だけの弱点とは限らない点です。認証情報が流出したサービスと、同じパスワードを使った別サービスの両方に影響が及び得ます。ITパスポートでは、認証情報の使い回しが被害範囲を広げる要因だと押さえます。

攻撃が成立する仕組み

1. 認証情報の入手：攻撃者が何らかの経路でIDとパスワードの組合せを入手します。
2. 複数サービスへの試行：入手した組合せで、別のWebサービスや社内サービスへのログインを試みます。
3. 使い回しの悪用：同じ組合せが登録されていると、本人になりすまして利用できるおそれがあります。
4. 不正利用の防止：サービス側と利用者側が、追加認証や利用状況の確認で被害を抑えます。

ログイン回数の制限や異常な試行の検知はサービス側の対策です。一方、利用者がパスワードをサービスごとに分けることは、流出後に他サービスへ被害が連鎖するリスクを下げます。

総当たり攻撃・フィッシングとの違い

パスワードリスト攻撃は、漏えい済みの組合せを使う点が総当たり攻撃と異なります。また、フィッシングは認証情報を入手する手口であり、入手された情報がパスワードリスト攻撃に利用される可能性があります。

仕事と生活での使い分け

仕事では、業務用メール、クラウドサービス、取引先のポータルで同じパスワードを使わないことが基本です。退職・異動時のアカウント整理や、多要素認証の導入も、認証情報が不正利用される範囲を小さくします。共有アカウントに頼ると、誰の利用か確認しにくくなるため注意が必要です。

日常生活でも、通販、動画配信、金融関連などでパスワードを使い回さないことが大切です。管理が難しい場合は、信頼できるパスワード管理機能を利用してサービスごとに異なる長いパスワードを設定します。身に覚えのないログイン通知を受けたときは、通知内のリンクを急いで開かず、公式アプリや公式サイトから利用状況を確認します。

防ぐために押さえる対策

• サービスごとに異なるパスワードを設定する。
• 可能なサービスでは多要素認証を有効にする。
• 不審なメールや画面で認証情報を入力しない。
• 利用していないアカウントを放置せず、設定と利用履歴を定期的に見直す。

多要素認証は、パスワード以外の要素も確認する仕組みです。パスワードが漏えいしても、それだけでログインされにくくする役割があります。ただし、確認コードを第三者へ渡さないなど、利用者側の注意も必要です。

ITパスポート試験の要点

設問では「流出した認証情報を用いて、他サイトへのログインを試す」という説明があれば、パスワードリスト攻撃を選びます。対策を問われた場合は、単純な文字数変更よりも、パスワードの使い回しをやめること、多要素認証、異常なログイン試行の検知を結び付けて考えます。攻撃の入口であるフィッシングと、認証情報を使い回して試す攻撃を区別することがポイントです。

確認問題

問題：あるサービスから漏えいしたメールアドレスとパスワードの組合せを用い、別のWebサービスにログインを試みる攻撃はどれですか。

答え：パスワードリスト攻撃です。既知の認証情報を利用し、同じパスワードを使っている別サービスへの不正ログインを狙うためです。

関連記事

認証情報を入力させる手口を理解するには、フィッシングの正体と偽サイトを見破る極意を読むと、偽画面を見分ける観点を確認できます。

漏えいしたパスワードだけでログインされにくくする仕組みは、2要素認証を身近な例えでマスターするで整理できます。

認証を含む対策を全体像から復習したい場合は、セキュリティの記事まとめを起点にすると、関連用語を順番に学べます。