パスワードリスト攻撃とは？認証攻撃4種類を見分ける方法【基本情報技術者試験】

まず結論

パスワードリスト攻撃とは、他のサービスなどから流出したID・パスワードの組合せを使い、別のサービスへの不正ログインを試す攻撃です。

基本情報技術者試験では、攻撃名を丸暗記するより、次の3点で切り分けると安定します。

流出済みの認証情報を使うか
IDとパスワードのどちらを固定するか
ログイン画面を攻撃するか、ハッシュ値を解析するか

今回の4種類は、次のように整理できます。

攻撃	一番強い判断ワード
パスワードリスト攻撃	流出済みのID・パスワードを別サービスで使う
ブルートフォース攻撃	1つのIDに対して多数のパスワード候補を試す
リバースブルートフォース攻撃	1つのパスワードを多数のIDに試す
レインボー攻撃	ハッシュ値から元のパスワードを推測する

直感的な説明

4つの攻撃は、「攻撃者が何を持っていて、何を変えながら試すか」を見ると理解しやすいです。

パスワードリスト攻撃

攻撃者は、すでに別サービスから漏れたID・パスワードの組合せを持っています。

Aさん / password123
Bさん / qwerty456
Cさん / abc789

この組合せを別のサービスでも試します。

別サービスで同じ組合せを試す
↓
パスワードを使い回していれば侵入できる

ポイントは、推測ではなく再利用です。

ブルートフォース攻撃

ある1つのIDに対して、パスワード候補を次々に変えます。

ID：user01 固定

0000
0001
0002
...

つまり、IDを固定してパスワードを変える攻撃です。

リバースブルートフォース攻撃

ブルートフォース攻撃とは逆に、よく使われる1つのパスワードを固定し、多数のIDを変えながら試します。

パスワード：password 固定

user01
user02
user03
...

つまり、パスワードを固定してIDを変える攻撃です。

レインボー攻撃

ログイン画面に対してID・パスワードを試すのではなく、漏えいしたパスワードハッシュを手元で解析します。

ハッシュ値
↓
あらかじめ計算した対応表などと照合
↓
元のパスワード候補を探す

ここだけは、他の3つと違って認証画面への試行が中心ではないことが重要です。

定義・仕組み

4つを「固定するもの・変えるもの」で並べると、違いがはっきりします。

攻撃	攻撃者が使うもの	固定するもの	変えるもの
パスワードリスト攻撃	流出済みID・パスワードの組合せ	組合せそのもの	対象サービスやアカウント
ブルートフォース攻撃	パスワード候補	ID	パスワード
リバースブルートフォース攻撃	よく使われるパスワード	パスワード	ID
レインボー攻撃	ハッシュ値と対応表	対象ハッシュ	照合する候補

この表をそのまま覚える必要はありません。

試験では、次の順番で読むと判断できます。

「流出した認証情報」とある？
→ はい：パスワードリスト攻撃

「1つのIDに多数のパスワード」とある？
→ はい：ブルートフォース攻撃

「1つのパスワードを多数のID」とある？
→ はい：リバースブルートフォース攻撃

「ハッシュ値を解析」とある？
→ はい：レインボー攻撃

ブルートフォース攻撃そのものの詳細は、ブルートフォース攻撃とは？総当たり・辞書攻撃・暗号解読法の違いで整理しています。

また、メールを使って認証情報を盗ませる攻撃との違いは、標的型攻撃メールとは？フィッシング・スパム・架空請求との違いも参考になります。

このテーマは基本情報技術者試験の情報セキュリティ分野に関係します。公式の出題範囲は、IPA：基本情報技術者試験から確認できます。

科目Aでどう出る？

科目Aでは、攻撃方法の説明文を読んで名称を選ぶ問題として出やすいです。

特に、次の語だけで決めないようにします。

「大量に試す」
「不正ログイン」
「パスワード」

これらは複数の攻撃に当てはまります。

決め手になるのは、どこから認証情報を得たか、何を固定して何を変えるかです。

パスワードリスト攻撃を選ぶ条件

次のような表現があれば、パスワードリスト攻撃を疑います。

他サービスから流出した
IDとパスワードの組合せを入手した
別サービスで同じ認証情報を試す
パスワードの使い回しを悪用する

「流出済みの正解候補を使う」
→ パスワードリスト攻撃

ブルートフォース攻撃を選ぶ条件

可能なパスワードを順番に試す
総当たり
一つのアカウントに多数の候補

ID固定 × パスワード変更
→ ブルートフォース攻撃

リバースブルートフォース攻撃を選ぶ条件

よく使われるパスワードを固定
多数の利用者IDに試す

パスワード固定 × ID変更
→ リバースブルートフォース攻撃

レインボー攻撃を選ぶ条件

パスワードハッシュを入手
ハッシュ値から元のパスワードを推測
あらかじめ計算した対応表を利用

ログイン試行ではなくハッシュ解析
→ レインボー攻撃

どんな場面で使う？

この知識は、認証攻撃の説明文を見分けるときに使います。

FEでは、対策を細かく運用設計することより、攻撃の仕組みを正しく分類できることをまず優先します。

例えば、次のような読み方です。

流出したID・パスワードを別サイトで利用
→ パスワードリスト攻撃

1アカウントに多数のパスワード候補
→ ブルートフォース攻撃

1つのパスワードを多数アカウントに利用
→ リバースブルートフォース攻撃

漏えいしたハッシュ値を手元で解析
→ レインボー攻撃

なお、SGの記事ではパスワードの使い回し防止、MFA、ログイン監視など組織・利用者側の対策まで扱っています。本記事では重複を避け、FE向けに攻撃メカニズムと選択肢の切り分けを中心にしています。

よくある誤解・混同

誤解1：大量にログインするなら全部ブルートフォース攻撃

違います。

候補を自分で生成して総当たり
→ ブルートフォース

他サービスから漏れた組合せを利用
→ パスワードリスト

候補の入手元を確認することが重要です。

誤解2：パスワードリスト攻撃はパスワードを推測する

パスワードリスト攻撃では、基本的にすでに漏えいした組合せを再利用します。

そのため、複雑なパスワードでも、同じものを別サービスで使い回していて、その組合せが漏えいすれば狙われます。

誤解3：リバースブルートフォースはブルートフォースより弱い

単純に強弱で比べるものではありません。

違いは、何を固定するかです。

ブルートフォース
→ ID固定

リバースブルートフォース
→ パスワード固定

誤解4：レインボー攻撃もログイン画面への攻撃

レインボー攻撃は、主に漏えいしたハッシュ値をオフラインで解析する攻撃です。

他の3つのようなログイン試行とは、攻撃する場所が異なります。

誤解5：パスワードリスト攻撃と標的型攻撃メールは同じ

目的や手段が違います。

パスワードリスト攻撃：流出済み認証情報を別サービスで再利用する
標的型攻撃メール：相手に合わせたメールで添付ファイルやURLを開かせる

まとめ（試験直前用）

流出したID・パスワードを別サービスで試す → パスワードリスト攻撃
ID固定で多数のパスワードを試す → ブルートフォース攻撃
パスワード固定で多数のIDを試す → リバースブルートフォース攻撃
ハッシュ値を解析する → レインボー攻撃
「大量に試す」だけで決めず、流出情報・固定するもの・攻撃場所を見る

試験直前には、次の順で確認してください。

流出情報？
固定するのはID？パスワード？
ログイン試行？ハッシュ解析？

🔗 関連記事

🏠 基本情報技術者トップに戻る