パスワードリスト攻撃
この用語のポイント
アカウントを乗っ取るための手法だよ
他のサービスから盗んだIDとパスワードの組み合わせを片っ端から試すよ
IDとパスワードを使いまわしていると乗っ取られちゃうよ
簡単に書くよ
パスワードリスト攻撃（読：パスワードリストコウゲキ 英：credential stuffing）とは
他人のアカウント
（利用者名簿に載っている名前（みたいなもの））を乗っ取るときの やり方のひとつ
であり
他のサービスから盗んだ利用者の情報（IDとパスワードの組み合わせ）を片っ端から試していく やり方
です。
詳しく書くよ
順番に見ていきましょう。
まずは予備知識として「アカウント」について簡単に説明します。
「そんなの説明されなくても知ってるよ！」な人は適当に読み飛ばしてください。
アカウントは「これやって良いよ権限」です。
「ユーザアカウント」や「メールアカウント」の省略表現と捉えても かまいません。
アカウントがあれば、コンピュータの世界における あれやこれやのサービスが使えるようになります。
いまいちアカウントがイメージできない人は、利用者名簿に載っている名前みたいなものだと思ってください。
利用者名簿に名前が載っている人は、サービスを使えます。
利用者名簿に名前が載っていない人は、サービスを使えません。
利用者名簿に載っている名前がアカウントです。
以上を踏まえて
Aサービスを利用している人のIDとパスワードのリストを盗んで、Bサービスで片っ端から試すことによって、AサービスとBサービスで同じID・パスワードを使っている人のアカウントを盗んでやるぜ！な悪いこと
が「パスワードリスト攻撃」です。
「リスト型攻撃」や「アカウントリスト攻撃」などとも呼ばれます。
例えば、そうですね。
ピヨ太君は動画共有サービス「ぴよぴよ動画」を利用しています。
ぴよぴよ動画は会員様限定サービスです。
認証を通らないと使えません。
ピヨ太君は
ID：piyota
パスワード：piyo2
で会員登録しています。
ピヨ太君は、つぶやきサービス「ぴよったー」も利用しています。
ぴよったーも会員様限定サービスです。
認証を通らないと使えません。
ピヨ太君は
ID：piyota
パスワード：piyo2
で会員登録しています。
IDとパスワードは、ぴよぴよ動画と同じです。
ある日のことです。
悪いアクマ君が、ぴよぴよ動画の利用者リストを盗み出しました。
IDとパスワードの組み合わせが載ったリストをゴソっと持っていったのです。
それを知ったぴよぴよ動画の運営者は、ピヨ太君たち利用者に「ヤバい！パスワードが漏えいしたっぽい！パスワードを変更してよ！」と連絡しました。
ピヨ太君は慌ててパスワードを変更します。
今度は
ID：piyota
パスワード：piyo3
にしました。
ふぅ、これで一安心です。
……と思ったのは、ピヨ太君だけでした。
アクマ君は、ぴよぴよ動画から盗んだリストに載っているIDとパスワードの組み合わせで、ぴよったーの認証を通ろうとしていたのです。
具体的には、ぴよぴよ動画から盗んだリストに載っているIDとパスワードの組み合わせを片っ端からぴよったーで試します。
そうすると、どうなるでしょう。
そうですね。
ピヨ太君のIDとパスワードを試したときに、ぴよったーの認証を通り抜けてしまいます。
ぴよぴよ動画とぴよったーで同じID・パスワードを使っていたからです。
この状況は「アクマ君がピヨ太君のぴよったーアカウントを乗っ取った」と言えます。
パスワードの変更でも何でも、アクマ君の好きにできるからです。
あとは煮るなり、焼くなり、ご自由に、です。
このような攻撃がパスワードリスト攻撃です。
まず、とあるサービスから利用者のID・パスワードを盗みます。
一人分なんてケチくさいことは言いません。
盗めるだけ全部、まとめてゴソっと盗みます。
次に、盗んだリストに載っているID・パスワードの組み合わせで他のサービスの認証にチャレンジします。
IDとパスワードを使いまわしている人がいれば認証を通り抜けます。
アカウントが乗っ取れる理屈です。
さらに別のサービスでも試せば、被害は倍増ですね。
よく「パスワードの使い回しは止めましょう」と言われます。
それは今回説明したパスワードリスト攻撃を避けるための措置です。
……と言っても、サービスごとにパスワードを変えるのって面倒くさいですよね。
個人的なオススメ対処法は、パスワードの中にサービスの識別子を埋め込むことです。
例えば、Google関連のサービスで使うパスワードであれば
piyotagoo
のようにします。
Yahoo!関連のサービスで使うパスワードであれば
piyotayah
です。
「分かりそう」で「分からない」でも「分かった」気になれるIT用語辞典であれば
piyotawa3
ですかね。
「piyota」の部分は使い回しです。
ルールさえしっかり決めておけば、覚えるのは「piyota」だけで済みます。
もちろん完全に変えた方が良いのは当たり前ですけどね。
少なくとも、そのまま使いまわすよりは安全なはずです。
気が向いた方は、やってみてください。
「セキュリティ意識の高い俺（私）、かっこいー！」な気分になれると思います。
一言でまとめるよ
まぁ「パスワードリスト攻撃」って単語が出てきたら「他のところで盗んだIDとパスワードの組み合わせを片っ端から試すぜ！なパスワードの破り方なんだな～」と お考えください。
おまけ
■訳してみるよ
「password（パスワード）」は「pass（パス）」＋「word（ワード）」です。
「pass（パス）」の意味は「通る」とか「通過する」とか「合格する」とかです。
「word（ワード）」の意味は「語」とか「単語」とかです。
「list（リスト）」の意味は「一覧表」とか「一覧表にする」とかです。
「攻撃」は日本語ですね。
何となく くっつけると
通るための単語の一覧表を使った攻撃
となります。
■検索してみる？
