「社内システムや自社Webサービスへの不正アクセスが発生したが、パスワード自体は複雑に設定されていたはずなのに、なぜ破られたのだろう」
「ニュースでよく見る『パスワードリスト攻撃』。従来の総当たり攻撃と何が違い、企業はどう防げばいいのか」
企業のDX推進やクラウドサービスの活用が日常ルーティンとなる中、サイバー犯罪者が最も効率的かつ高確率で不正アクセスを成功させている手口が「パスワードリスト攻撃（リスト型アカウントハッキング）」です。
この攻撃の極めて厄介な点は、どれほど複雑で長いパスワードを設定していても、「他のサービスで使い回している」という人間の心理的な隙を突かれると、一瞬でログインを突破されてしまう点にあります。
さらに、正規の認証情報を使用するため、システム側が「不正なアクセス」と客観的に判断しにくく、被害の検知が遅れやすいという陰湿な特徴も持っています。
本記事では、パスワードリスト攻撃の具体的な仕組みや手口、他の攻撃手法との決定的な違い、そして企業ガバナンスとして実践すべき具体的な防衛策についてわかりやすく解説します。
1. パスワードリスト攻撃とは？（仕組みとメカニズム）
パスワードリスト攻撃とは、「他のWebサイトやサービスから何らかの理由で流出した『ID（メールアドレス）とパスワードの組み合わせリスト』を入手し、それを標的とする別のサイトのログイン画面に自動で次々と入力して不正アクセスを試みる」サイバー攻撃の手口です。
攻撃が成立する背景とユーザーの心理
現代のビジネスパーソンや消費者は、業務・プライベートを問わず数十〜数百のWebサービス（クラウドSaaS、ECサイト、SNSなど）を利用しています。これらすべてのサービスで異なるパスワードを記憶するのは困難であるため、多くのユーザーが「同じID（メールアドレス）とパスワードの組み合わせを複数のサイトで使い回す」という行動ルーティンに陥っています。
サイバー犯罪者はこの「使い回し」の習慣を悪用します。
どこかセキュリティの脆弱な中小規模のWebサイトからログイン情報のリストをハッキング等で窃取し、そのリストを使って、本命である企業の基幹システムやクラウドサービス、大手のECサイトなどへ一斉にログインを試みるのです。
2. ブルートフォース攻撃やパスワードスプレー攻撃との決定的な違い
ログイン画面を狙う攻撃にはいくつかのフォーマットが存在しますが、そのアプローチの思想は全く異なります。
- ブルートフォース攻撃（総当たり攻撃）：1つのIDに対して、パスワードの文字の組み合わせ（
aaaaから順番など）をランダムかつ機械的に何万回も試してこじ開ける手口。 - パスワードスプレー攻撃：複数のIDに対して、よく使われる少数のパスワード（
Welcome2026など）を広く浅く試す手口。 - パスワードリスト攻撃：「他所で漏洩した、誰かが現在進行形で実際に使っている本物の合鍵（ID・パスワード）」を使ってドアを開けようとする手口。
なぜパスワードリスト攻撃は「最も成功率が高い」のか？
ブルートフォース攻撃は、同一アカウントへの大量の誤入力を伴うため、「アカウントロック機能」によって比較的容易にブロックできます。
しかし、パスワードリスト攻撃は、リストに載っている本物のパスワードを入力するため、わずか1〜2回の試行でログインが成功します。
システム側からは「正しい情報を持った正規のユーザーがログインしてきた」としか客観的に判断できないため、従来の誤入力検知システムをすり抜けてしまうのです。
3. 企業が受ける深刻な被害事例
パスワードリスト攻撃によってアカウントの権限を奪われた場合、企業は経営の根幹に関わる大きな損害を被ります。
① 社内ネットワークへの侵入とランサムウェア感染
従業員がプライベートで使っていた外部サイトからIDとパスワードが漏洩し、それが業務用のVPN機器やクラウド環境（Microsoft 365など）のログイン情報と共通だった場合、社内ネットワークへの侵入を許します。
そこから機密データが窃取されたり、ランサムウェアを送り込まれて基幹システム全体を暗号化されたりする二次被害へと発展します。
② 自社サービスのユーザーアカウント乗っ取りと不正利用
企業が一般顧客向けにECサイトやWebサービスを提供している場合、顧客のアカウントがパスワードリスト攻撃の標的になります。
ログインを許すと、登録されているクレジットカード情報や個人情報が閲覧・悪用され、勝手に高額な買い物をされたり、ポイントを不正に他社ポイントへ交換されたりする被害が発生します。
これにより、サービス運営企業としての社会的信用は失墜し、損害賠償や行政指導の対象となります。
4. 企業が取るべき「パスワードリスト攻撃対策」
本物のパスワードを入力してくるパスワードリスト攻撃に対しては、「パスワードを複雑にする」「誤入力でロックする」という従来の防壁だけでは不十分です。
以下の多層防御の適合運用（防衛ルーティン）を構築する必要があります。
1.多要素認証（MFA）の導入:最重要の防壁。
ID・パスワードの認証が成功したあとに、スマートフォンの認証アプリやSMSへのワンタイムパスワード、生体認証などの「追加の認証」を必須とします。これにより、万が一パスワードリストがハッカーの手に渡っても、最後の砦で不正アクセスを完全にブロックできます。
2.リスクベース認証とログイン通知の導入:検知の強化。
ユーザーが「普段とは異なるIPアドレス」「海外のプロキシ経由」「見慣れないデバイス」からログインを試みた際に追加の本人確認を求めたり、ログイン成功時にユーザーへ「〇〇からログインがありました」とアラートメールを自動送信する仕組みを導入します。
3.画像認証（CAPTCHA）の設置:入力側の対策。
ログイン画面に「私はロボットではありません」といったチェックボックスや、パズルを合わせる画像認証を設置します。パスワードリスト攻撃はボットプログラムを用いて数万件のリストを高速で自動入力するため、人間の手入力を求める画像認証はボットの試行を物理的に停止させる効果があります。
4.ID（ユーザー名）をメールアドレスにしない運用の検討:ルールの最適化。
多くのWebサービスでIDとしてメールアドレスが使用されていますが、これは「IDが最初から一般に公開されている状態」を意味します。システム設計において、IDをメールアドレスとは異なる固有の文字列に設定できるようにすることで、リスト攻撃の適合率を劇的に下げることができます。
まとめ：システムの防壁と「使い回し撲滅」の両輪を
パスワードリスト攻撃は、ユーザーが他のサイトで起こした「パスワードの使い回し」という油断の結果が、自社システムへ飛び火してくるきわめて理不尽かつ凶悪な攻撃です。
- 他所で流出した本物のID・パスワードを使用するため、検知が非常に難しい。
- 防衛には、多要素認証（MFA）の導入やボットの自動入力を阻止する画像認証が客観的に最も有効。
- システムを強固にするだけでなく、従業員やユーザーに対して「パスワードを絶対に使い回さない」というガバナンスと教育を定着させることが最大の防御壁となる。
認証フローのセキュリティレベルを最新の基準へと適合させ、見えないリストからの侵入から自社のビジネスと顧客の信頼を守り抜きましょう。
情報セキュリティ研修をご検討中の方へ
当サイトでは、企業・自治体向けに以下のサービスをご提供しています。
- 研修動画パッケージ（買い切り型）
- 講師派遣による対面・オンライン研修
- 社内啓発に活用できる無料「情報セキュリティ10箇条」ポスター
動画研修には、スライド一式・理解度確認テスト・研修実施報告書テンプレート・社内掲示用ポスターも付属しており、研修担当者の負担軽減にも役立ちます。
料金やカリキュラムの詳細は、[情報セキュリティ研修サービス一覧] をご覧ください。
