リスト型攻撃(パスワードリスト攻撃)は、どこかのサービスから流出したIDとパスワードの組み合わせを、別のサービスや社内システムでそのまま試す手口です。クレデンシャルスタッフィングとも呼ばれます。特徴は、攻撃側が「実際に使われている組み合わせ」を持っているという点にあります。不正アクセスの基本で扱った侵入経路のなかでも、企業側の管理が行き届きにくい経路のひとつです。
PC版 月1,800円／台（初期費用0円）・サーバー版 月20,000円／台。初月無料ではじめられます（税別・目安）
リスト型攻撃とは何か
リスト型攻撃では、他のサービスから流出したIDとパスワードの組み合わせが、そのまま別の場所のログイン画面で試されます。もしその利用者が同じパスワードを使い回していれば、入力される組み合わせは正しいものであるため、システムから見れば本人のログインと区別がつきません。認証は正常に通り、エラーも警告も発生しません。
つまりリスト型攻撃は、システムの脆弱性を突くというより、正しい鍵をそのまま使う類の侵入です。どのような情報が流出しうるのかはパスワード流出の事例、流出後に何が起きるのかはパスワード流出の影響で整理しています。
総当たり攻撃との違い
総当たり攻撃は、無数の候補を順に試す方式です。ほとんどが不正解になるため、大量のログイン失敗が記録に残ります。そのため、失敗回数のしきい値やアカウントロックといった仕組みが有効に働きます。
一方リスト型攻撃は、すでに正解の可能性が高い組み合わせを持っています。少ない試行で成功しうるため、失敗の記録がほとんど残らないことがあります。結果として、ログイン失敗回数の監視だけでは気づきにくいという違いが生まれます。気づくためには、いつ・どこから・誰がログインしたかという観点が必要になります(不審なログインの確認方法を参照)。
なぜパスワードの使い回しが致命的なのか
多くの利用者は、私物で使うサービスと業務システムで似たパスワード、あるいは同じパスワードを使っています。この状態では、自社が何ひとつ情報を漏らしていなくても、社外のどこかで起きた事故が自社システムへの侵入経路になりえます。
自社の管理体制、パスワードの保管方法、社内ルールがどれだけ整っていても、利用者本人が別の場所で同じパスワードを使っていれば、その一点で守りが抜けてしまうという構造です。
企業として難しい点
この経路の難しさは、会社側から状況を把握できないことです。利用者が社外のどのサービスに登録し、そこで同じパスワードを使っているかは、会社が確認できる情報ではありません。ヒアリングやルールで注意を促すことはできても、実態の確認まではできません。
したがって、自社側の管理を完璧にしても、この経路は残り続けると考えるほうが現実的です。前提として残るリスクに対して、どう備えるかという発想に切り替える必要があります。
対策の考え方
リスト型攻撃への対策は、「パスワードを守る」ではなく「パスワードが破られた前提で、それだけでは入れないようにする」方向に置くのが基本です。
- パスワードのみで入れる入口を無くす — 正しいパスワードを持っていても、それだけではログインできない状態にします。これが最も効果の大きい対策です(多要素認証の基本を参照)
- システム側で止められる範囲を増やす — 使い回しを禁止するルールを掲げるだけでなく、認証の仕組みそのもので止められる範囲を広げます
- 重要なアカウントから優先する — 管理者権限を持つアカウント、業務の基幹となるシステム、そして端末そのものへのログイン(Windows OSログインの2要素認証)から順に認証を強化します
- 不審なログインに気づける仕組みを持つ — 認証が通ってしまった場合でも、通常と異なるログインを検知できれば被害の拡大を抑えられます
4つ目の「気づける仕組み」は、PCを1台ずつ見ていては続きません。アプリップリキーなら、全PC・サーバーのログイン記録を1画面で見られ、連続した失敗はLINEに届き、相手のIPは自動で遮断されます。さらに1つ目の「パスワードのみで入れる入口を無くす」も、PC及びサーバーのログインを本人のスマホを鍵にしたワンタッチログインにすればできます（PC版・サーバー版）。社員は毎回スマホでワンタッチするだけなので、複雑なパスワードを覚えて打つ手間も減ります。
なお、認証を「2段階」にするのか「2要素」にするのかで守れる範囲は変わります。この違いは2段階認証と2要素認証の違いで整理しています。
パスワードポリシーだけでは止められない
文字数や複雑さ、変更の頻度といったパスワードポリシーの設計は、自社内で使われるパスワードの質を高めるうえで意味があります。しかし、それによって社外サービスでの使い回しそのものを止めることはできません。ポリシーが定める範囲は自社システムの中にとどまるためです。
だからこそ、リスト型攻撃に対しては、パスワードの中身を良くする方向ではなく、認証の要素を増やす方向の対策が要になります。ポリシーの整備は土台として続けつつ、入口の認証方式を見直すことをおすすめします。
この攻撃が成立する前提は、パスワードの使い回しです。社内で確認できる範囲と、 やってはいけない調べ方は 使い回しを確認する方法で扱っています。
総当たり攻撃・辞書攻撃は何が違うのか
総当たり攻撃（ブルートフォース攻撃）は文字の組み合わせを機械的に順に試す方法、辞書攻撃はよく使われる単語や過去に多かったパスワードから先に試す方法です。どちらも大量の失敗を伴うため、リスト型攻撃と違ってログインの失敗が短時間に大量に記録に残ります。
- パスワードを長くする：試す組み合わせが増えるので総当たりには効きます。ただし使い回されたパスワードを狙うリスト型攻撃には効きません
- 連続した失敗でロックする：試行を続けられなくします。正規の利用者が締め出される副作用があるので、回数と解除の手順を決めておきます（ロックアウトの設定）
- 社外から届く入口を減らす：公開されたリモートデスクトップなど、攻撃が届く場所そのものを減らすのが最も効果の大きい対策です
どの攻撃でも、パスワードが当てられたり漏れたりした時点で、パスワードだけのログインは通ってしまいます。2つ目の要素があれば、パスワードが一致しても本人の確認がなければ入れません。
普段の管理が楽になると何が変わるか
リスト型攻撃は失敗の記録が少ないため、気づくには「いつ・どのPCに・誰が・どこから入ったか」を普段から見られることが近道です。全PC・サーバーのログイン記録が1か所にまとまっていれば、夜中のログインや見慣れない接続元を、PCを1台ずつ開かずに画面の絞り込みで確かめられます。
総当たりのような連続した失敗は自動でIPが遮断され、担当者のLINEに届くだけなので、何もない日は見に行かなくて済みます。社員に「使い回さないでください」と繰り返し呼びかけるより、ログインそのものをスマホのワンタッチにしたほうが、社員も担当者も楽になります。
いまの運用を棚卸ししてみる
パスワードのみでログインできるシステムがどれだけ残っているかは、組織によって大きく異なります。applippliの無料棚卸しでは、10問・約3分で、自社の認証・アカウント管理の対応状況を「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。
自社の不正アクセス対策をどこから進めるかは、不正アクセス対策とは 侵入経路別の優先順位で、2026年の統計と事例をもとに整理しています。