とことこロゴス
パスワードリスト攻撃
ほかのサービスから流出した利用者IDとパスワードの組のリストを使って、別のサービスへのログインを試みる攻撃。利用者が複数のサービスで同じパスワードを使い回していることを狙う。
イマシルちゃんの解説
パスワードリスト攻撃は、ほかのサービスから流出したIDとパスワードの組を使ってログインを試す攻撃だよ。
攻撃者は入手した一覧を別のサービスに持ち込み、利用できるアカウントを探すんだ。
複数のサービスで同じパスワードを使い回していると、流出元とは別のアカウントまで乗っ取られるおそれがあるの。
必ず成功するわけではないけれど、一か所から漏れた情報が別の場所でも悪用されるのが怖いところだね。
指紋など別の要素も使って本人を確かめる多要素認証は、この攻撃への対策になるよ。
この解説はわかりやすかったですか？
より深い解説
定義
パスワードリスト攻撃は、何らかの方法で入手した利用者IDとパスワードの組のリスト（他のサービスから流出したものなど）を使い、別のサービスに対してログインを試みる攻撃である。英語では、クレデンシャルスタッフィング（credential stuffing）と呼ばれる。
成功してしまう理由
この攻撃は、パスワードを推測するのではなく、実際に使われていた正しい組を試す。そのため、利用者がパスワードを使い回していれば、非常に高い確率で成功する。また、1つのアカウントに対しては1回（または数回）しかログインを試さないため、「一定回数失敗したらロックする」というアカウントロックの対策が効きにくい。
ほかのパスワード攻撃との比較
| 攻撃 | 固定するもの | 変えて試すもの | 特徴 |
|---|---|---|---|
| ブルートフォース攻撃 | 利用者ID | パスワード（すべての組み合わせ） | 1つのアカウントに多数回試す |
| 辞書攻撃 | 利用者ID | パスワード（よく使われる単語） | 試す候補を絞る |
| リバースブルートフォース攻撃 | パスワード | 利用者ID | よく使われるパスワードを多数のIDで試す |
| パスワードスプレー攻撃 | パスワード（少数） | 利用者ID | 時間を空けて、ロックを避けながら試す |
| パスワードリスト攻撃 | − | IDとパスワードの組 | 流出した組をそのまま試す |
対策
| 立場 | 対策 |
|---|---|
| 利用者 | パスワードを使い回さない（パスワード管理ソフトを使う） |
| サービス提供者 | 多要素認証を導入する |
| サービス提供者 | 普段と異なる国や端末からのログインを検知し、追加の確認を求める |
| サービス提供者 | 同じIPアドレスから多数のアカウントへのログインが試みられたら、遮断する、CAPTCHAを表示する |
| サービス提供者 | ログインの成功を利用者に通知する |
| サービス提供者 | 流出したパスワードのリストと照合し、危険なパスワードの使用を拒否する |
CDNとの関係
パスワードリスト攻撃は、正規の利用者と同じように少数のログインを繰り返す攻撃であり、アクセスを分散させるCDNで防げるものではない。ボットによる自動ログインの検知は、WAFやボット対策のサービスで行う。