リスト型攻撃(クレデンシャルスタッフィング)とは?流出したIDとパスワードが他のサービスで悪用される仕組み

一言でいうと

リスト型攻撃(クレデンシャルスタッフィング)とは、他のサービスで流出したIDとパスワードの組み合わせ(リスト)を使って、別のサービスに、自動でログインを試みる攻撃のことです。

たとえ話:盗まれた合鍵の束を、別の家で試す

ある家で、合鍵が盗まれたとします。泥棒は、その鍵の持ち主が、他の家でも、同じ鍵を使っているかもしれないと考えて、別の家の玄関で、盗んだ鍵を、片っ端から試していきます。

これが、リスト型攻撃です。1つのサービスから漏れたIDとパスワードが、別のサービスの玄関で試されるのです。同じパスワードを使い回していると、別の家の鍵まで、開いてしまうことになります。

仕組みの流れ

攻撃は、自動化されているため、大量の組み合わせを、短時間で試せます。

なぜ、パスワードの使い回しが危険なのか

リスト型攻撃では、パスワードの強さは、関係ありません。使われるのは、実際に使われていた、本物のパスワードだからです。

• 複雑なパスワードでも、使い回していれば、他のサービスで通用してしまう
• 1つのサービスで、十分な対策をしていても、別のサービスの流出で、巻き込まれる
• 自分が悪くなくても、被害に遭う

ですから、サービスの流出のニュースを見たら、そのサービスと同じパスワードを使っている、他のサービスも、すべて変更することが、重要です(自分の情報が流出したと通知が来たら)。

個人でできる対策

企業・サービス運営側の対策

サービスを提供する側にも、できることがあります。

• ログインの試行回数を制限する(短時間に、大量の失敗が起きたら、止める)(レートリミットとは)
• 不審なログインを検知する(普段と違う場所や端末、短時間の大量の試行)
• 多要素認証を導入し、利用者に設定を促す
• パスキーなど、パスワードに頼らない認証を導入する
• 利用者に、パスワードの使い回しを避けるよう、呼びかける

ログインの仕組みそのものを、見直すことも検討してください(ログインしたのにまたログインを求められる原因と切り分け方も、ログインの仕組みを理解する助けになります)。

「自分は、関係ない」と思わない

リスト型攻撃は、特定の人を狙う攻撃ではありません。大量のIDとパスワードの組み合わせを、機械的に試すため、誰でも、対象になり得ます。

• 「自分のアカウントには、大した情報がない」と思っていても、ポイントやギフト、保存したカード情報、他のサービスへの連携など、悪用できるものがある
• メールアドレスのアカウントが乗っ取られると、他のサービスのパスワード再設定に使われ、被害が連鎖する
• 乗っ取られたアカウントが、詐欺メールの送信元として使われ、知人に被害が広がる

特に、メールアドレスのアカウントは、他のあらゆるサービスの「かなめ」です。最優先で、使い回しをやめ、多要素認証を設定してください。

不正ログインに、気づいたら

• すぐに、そのサービスのパスワードを変更する
• 同じパスワードを使っている、他のサービスも変更する
• 多要素認証を設定する
• 利用履歴を確認し、身に覚えのない操作があれば、サービスの窓口に連絡する

まとめ

• リスト型攻撃は、流出したIDとパスワードを、他のサービスで自動的に試す攻撃
• 使い回していると、パスワードが強くても、被害に遭う
• 個人は、使い回さない・多要素認証・ログイン通知
• 企業は、ログイン試行の制限・不審なログインの検知・パスキーなどの導入

2026年10月の流出の背景は、なぜ今、個人情報の流出が相次いでいるのかで整理しています。

関連記事:なぜ今、個人情報の流出が相次いでいるのか(2026年10月)、個人情報の流出はなぜ起きるのか

関連記事:個人情報流出 2026年10月の主な事案|パスワード変更は必要?早見表

関連記事:パスワードのハッシュ化とは?