パスワードリスト攻撃とは？ブルートフォースとの違い

パスワードリスト攻撃とは、他のWebサービスなどから漏えいしたID・メールアドレスとパスワードの組み合わせを使い、別のサービスへログインを試す攻撃です。

英語では「Credential Stuffing」と呼ばれます。攻撃者は、パスワードをゼロから推測するのではなく、すでに漏えいした認証情報を再利用します。そのため、同じパスワードを複数サービスで使い回している利用者が特に狙われやすくなります。

パスワードリスト攻撃とは？

パスワードリスト攻撃は、過去に別サービスなどから漏えいした認証情報を使い、他のサービスでもログインできるか試す攻撃です。

利用者が同じメールアドレスとパスワードを複数サービスで使っていると、1つのサービスから漏えいしただけで別サービスまで乗っ取られる可能性があります。

ブルートフォース攻撃との違い

パスワードリスト攻撃とブルートフォース攻撃は似ていますが、使う認証情報が違います。

項目	パスワードリスト攻撃	ブルートフォース攻撃
主な方法	漏えい済みID・パスワードを使う	多数のパスワード候補を試す
英語	Credential Stuffing	Brute Force
狙う弱点	パスワードの使い回し	短い・弱いパスワード
攻撃対象	多数のアカウントになりやすい	1アカウントへ集中する場合が多い
主な対策	固有パスワード・MFA	強いパスワード・試行回数制限

OWASPは、ブルートフォースを「1つのアカウントに対して複数のパスワードを試す攻撃」、Credential Stuffingを「他サイトの侵害で得たID・パスワードの組み合わせを試す攻撃」と整理しています。

パスワードスプレー攻撃との違い

似た認証攻撃に、パスワードスプレー攻撃があります。

攻撃	方法
ブルートフォース	1アカウントへ多数候補
パスワードリスト攻撃	漏えい済みID・パスワードの組み合わせ
パスワードスプレー	1つの弱いパスワードを多数アカウントへ試す

なぜパスワードリスト攻撃が成立する？

主な原因は、同じ認証情報を複数サービスで使い回す利用者がいることです。

この場合、どれか1つのサービスから認証情報が漏れれば、残りのサービスでも同じ組み合わせを試される可能性があります。

どんな情報が悪用される？

攻撃では、過去の情報漏えいなどで外部へ流出した認証情報が使われます。

攻撃者はこうした情報を組み合わせて、他のサービスでもログインできないか自動的に試します。

被害が起きるとどうなる？

パスワードリスト攻撃が成功すると、対象サービスの権限に応じて被害が広がります。

特に、サーバー管理画面やメールアカウントを奪われると、WordPressだけでなくドメイン・メール・バックアップなど複数の資産へ影響する可能性があります。

対策1．パスワードを使い回さない

最も重要な対策は、サービスごとに異なるパスワードを設定することです。

実際には、推測できない長いランダム文字列を使います。

対策2．パスワードマネージャーを使う

サービスごとに長いパスワードを覚えるのは現実的ではありません。

そのため、パスワードマネージャーを使ってサービスごとに異なるパスワードを生成・保存します。

対策3．多要素認証を有効にする

パスワードリスト攻撃に対して特に有効なのが、多要素認証（MFA）です。

OWASPは、Credential Stuffingを含むパスワード関連攻撃への最も強力な対策の1つとしてMFAを挙げています。

攻撃者が正しいID・パスワードを持っていても、追加要素を持っていなければログインを防げる可能性が高くなります。

パスキーは有効？

対応サービスでは、パスキーも有力な選択肢です。

パスキーは共有秘密であるパスワードをサービス間で使い回す仕組みではないため、パスワードリスト攻撃の前提を崩しやすい認証方式です。

対策4．漏えい済みパスワードを使わせない

サービス運営側では、既知の漏えいパスワードを新規設定・変更時に拒否する仕組みも有効です。

NIST SP 800-63B-4では、認証サービス側がパスワード設定時に、一般的・予測可能・侵害済みと判断される値をブロックリストと照合する考え方を採用しています。

対策5．ログイン通知を有効にする

対応サービスでは、新しい端末・地域・IPアドレスからのログイン通知を有効にします。

攻撃を完全に防ぐ機能ではありませんが、侵害を早期発見しやすくなります。

対策6．レート制限を使う

サービス運営側では、短時間に大量のログイン試行を受けたときにレート制限を行います。

ただしパスワードリスト攻撃では、多数のIPアドレスから少量ずつ試す分散攻撃もあるため、単純な「1IPにつき○回」だけでは十分でない場合があります。

対策7．CAPTCHA・Bot対策を組み合わせる

CAPTCHAやBot判定は、自動ログイン試行を減らす補助策として使えます。

OWASPもCAPTCHA単独では十分でないため、MFA・レート制限・IP情報・端末情報などと組み合わせるよう案内しています。

会社サイトでは管理者アカウントを分ける

複数人で1つの共通ID・パスワードを使うと、誰から漏れたか分からず、退職者のアクセス停止も難しくなります。

WordPressで最低限やること

レンタルサーバー管理画面も重要

WordPressよりも、レンタルサーバーの管理画面の方が高い権限を持つ場合があります。

管理画面を乗っ取られると、Webサイトだけでなくメール・DNS・バックアップ・FTP・データベースなどへ影響する可能性があります。

メールアカウントも使い回さない

メールアカウントを乗っ取られると、パスワード再設定メールを利用して他のサービスまで奪われる可能性があります。

漏えいした可能性がある場合の対応

自分の認証情報が漏えいした、または見覚えのないログインがあった場合は、早めに対応します。

パスワードを1つ変更しただけでなく、同じ文字列を使っていた他サービスをすべて洗い出すことが重要です。

パスワードは定期変更すべき？

理由なく毎月・90日ごとに変更するより、固有で長いパスワードを維持し、漏えい・不審ログインなどのリスクが発生したときに確実に変更する方が重要です。

NIST SP 800-63B-4では、パスワードの定期変更を一律に要求しない方針が示されています。

複雑なパスワードなら使い回してよい？

いいえ。

パスワードリスト攻撃では「推測できるか」ではなく、「すでに漏えいしているか」が問題になります。

複雑さと同時に、サービスごとに一意であることが重要です。

攻撃されているか確認する方法

サービス運営者は、ログイン履歴や認証ログを確認します。

パスワードリスト攻撃は分散されることがあるため、単一IPのアクセス数だけでは見抜きにくい場合があります。

WAFだけで防げる？

WAFやCDNのBot対策は有効ですが、単独で完全に防げるとは限りません。

正しいID・パスワードの組み合わせを使う攻撃は、通常利用者のログインに近く見える場合があります。

複数の防御を組み合わせます。

IP制限だけで防げる？

管理画面を特定拠点からしか使わない場合、IP制限は強力です。

ただし一般ユーザー向けログインでは、多数の正規利用者がさまざまなIPからアクセスするため、単純なIP制限は使いにくくなります。

利用者が最低限やること

サービス運営者が追加でやること

よくある間違い

教科書判定

FAQ

まとめ

次に読む