パスワードリスト攻撃

パスワードリスト攻撃は、ユーザーの「パスワードの使い回し」という脆弱性を突いた攻撃手法である。

1. 攻撃の流れ：攻撃者はまず、セキュリティが脆弱なAサイトからIDとパスワードのリストを入手する。次に、そのリストを用いて、金融機関やECサイトなどのBサイトに対して自動プログラムで連続的にログインを試行する。

2. なぜ重要か：ブルートフォース攻撃（総当たり攻撃）と異なり、既に「成功実績のある組み合わせ」を使用するため、極めて高い確率で不正ログインが成功してしまうからである。また、単発のログイン試行に見えるため、ロック機能にかかりにくい。

3. 実務での対策：サービス提供側は、二段階認証（2FA）の導入や、普段と異なる環境からのログイン検知を実施する。ユーザー側は「絶対にパスワードを使い回さない」こと、およびパスワードマネージャーの活用が最も有効な防御策となる。実務では、流出が発覚した際に速やかにパスワード変更を促す運用が求められる。