リスト型攻撃とは？

01リスト型攻撃のしくみ

リスト型攻撃（パスワードリスト攻撃）は、どこかのサービスから漏れた「IDとパスワードの組」の一覧を使い、別のサービスで次々にログインを試す攻撃です。パスワードを当てずっぽうに試す総当たり攻撃と違い、実際に誰かが使っていた組み合わせを使うので、少ない回数で入られてしまいます。

この攻撃が成り立つのは、多くの人が同じパスワードを使い回しているからです。総務省も、流出したアカウント情報で別のサービスへの不正ログインを試す手口があるとして、パスワードの使い回しをできるだけ避けるよう呼びかけています。

02よくある被害の例

• 昔登録した小さなサイトからパスワードが漏れ、同じパスワードの通販サイトにログインされ、登録カードで買い物をされる。
• 仕事用のクラウドサービスに、個人で使っていたパスワードと同じものを設定しており、社外から入られる。
• SNSのアカウントを乗っ取られ、知り合いに詐欺のメッセージを送られる。

本人は「漏れたサイト」を覚えていないことが多く、被害に気づくのが遅れがちです。

03防ぐには

• パスワードはサービスごとに変えます。これがいちばんの対策です。
• 全部を覚えるのは無理なので、パスワード管理アプリを使います。製品はパスワード管理で比べられます。
• 二段階認証を設定します。パスワードが合っていても、スマホに届く番号などがなければログインできません。
• 総務省は、流出していないのに定期的にパスワードを変える必要はないとしています。変えるべきなのは、漏れたと分かったときです。

会社のサービスを運営している場合は、短い時間に多くのログイン失敗が起きたら止めるしくみや、新しい場所からのログインを本人に知らせるしくみが役立ちます。

04被害にあったら

1. 入られたサービスのパスワードを変えます。同じパスワードを使っていたほかのサービスもすべて変えます。
2. 登録していたカードの利用明細を確かめ、不審な利用はカード会社に連絡します。
3. メールアドレスや電話番号、転送設定が書き換えられていないか確かめます。
4. 二段階認証をまだ使っていなければ、このときに設定します。

乗っ取り対策の全体は乗っ取り・不正ログインへの備えにまとめています。