2026.02.21

リスト型攻撃とは？企業が知るべき被害事例と原因、実践的対策を解説

catfish_admin

自社サービスへの不正ログインが増加していたり、リスト型攻撃による被害を懸念されている担当者の方も多いのではないでしょうか。リスト型攻撃は、自社に直接的な脆弱性がなくても他社からの情報流出を起点として発生し、顧客情報の漏洩や金銭被害、ひいては企業信用の失墜につながる深刻な脅威です。被害を未然に防ぎ、万が一の際に迅速に対応するためには、攻撃の仕組みと具体的な被害実態を正確に把握しておくことが第一歩となります。この記事では、リスト型攻撃の基本知識から国内の被害事例、そして企業が取るべき実践的な対策までを体系的に解説します。

リスト型攻撃の基本知識
- リスト型攻撃の仕組みと手口
- ブルートフォース攻撃との決定的な違い
リスト型攻撃がもたらす被害
- 発生しうる3つの主要な被害
- 実際に発生した国内の被害事例
攻撃の標的となる主な原因
- なぜ自社サービスが狙われるのか
企業が講じるべき実践的対策
利用者側でできる自己防衛策
よくある質問
まとめ：リスト型攻撃の被害を防ぎ、企業の信用を守るための対策

リスト型攻撃の基本知識

リスト型攻撃の仕組みと手口

リスト型攻撃とは、第三者が不正な手段で入手したIDとパスワードのリストを使い、様々なウェブサービスへのログインを試みるサイバー攻撃です。クレデンシャルスタッフィング攻撃とも呼ばれ、深刻な脅威として認識されています。この攻撃が成立する背景には、多くの利用者が複数のサービスで同じ認証情報を使い回している実態があります。攻撃者はその心理的な隙を突いて攻撃を仕掛けます。

攻撃は以下の手順で実行されます。

攻撃の手順

攻撃者は、他社システムへの不正アクセスやフィッシング詐欺、ダークウェブでの購入などを通じて、大量の認証情報リストを入手します。
入手したリストを自動化ツールに読み込ませ、標的となるサービスに対し、機械的に高速なログイン試行を繰り返します。
複数のIPアドレスを経由してアクセス元を分散させ、サービス側の監視システムによる検知を巧妙に回避します。
情報が流出したサービスと標的サービスで同じ認証情報を使っているアカウントがあれば、正規の利用者になりすましてログインに成功し、アカウントを乗っ取ります。

この手法は、リストの中に一部でも使い回しのアカウントが存在すれば成功するため、攻撃者にとって非常に効率的です。企業は自社システムに脆弱性がなくても、他社からの情報流出を起点として被害を受けるという構造的リスクを理解し、対策を講じる必要があります。

ブルートフォース攻撃との決定的な違い

リスト型攻撃とブルートフォース攻撃は、どちらも認証情報を悪用する不正アクセス手法ですが、その性質は大きく異なります。ブルートフォース攻撃が考えうる全てのパスワードを試す「総当たり攻撃」であるのに対し、リスト型攻撃は既知の有効な認証情報リストを用いるため、より効率的かつ隠密性が高いのが特徴です。

両者の違いは以下の通りです。

比較項目	リスト型攻撃	ブルートフォース攻撃
攻撃手法	事前に入手した有効なIDとパスワードのリストを使用する	特定のIDに対し、考えうる全てのパスワードを総当たりで試す
試行回数	少ない（1アカウントに対し基本的に1回）	非常に多い（パスワードの組み合わせの数だけ試行）
検知の容易さ	困難（通常のログイン失敗と見分けがつきにくい）	比較的容易（大量のログイン失敗ログが残る）
アカウントロック	回避されやすい	有効に機能しやすい

リスト型攻撃とブルートフォース攻撃の比較

このように、リスト型攻撃は単一のアカウントに対するログイン失敗回数を少なく抑えられるため、アカウントロックなどの一般的な防御機能をすり抜けやすく、サービス運営側による早期発見が格段に難しい、より洗練された脅威と言えます。

リスト型攻撃がもたらす被害

発生しうる3つの主要な被害

リスト型攻撃による不正ログインが成功すると、企業と利用者は深刻な被害に直面します。攻撃者は正規の利用者になりすましてシステムに侵入するため、その権限を悪用し、被害が広範囲に及ぶ可能性があります。

主な被害

個人情報・機密情報の漏洩: 氏名や住所、購買履歴などの個人情報や、企業の機密データが窃取され、二次被害の原因となります。
直接的な金銭的被害: 登録されたクレジットカードでの不正購入や、インターネットバンキングからの不正送金、ポイントの不正利用など、資産が直接奪われます。
企業ブランドと社会的信用の失墜: セキュリティ管理体制への不信感から顧客離れが進み、新規顧客の獲得も困難になるなど、事業継続に甚大な影響を及ぼす可能性があります。

リスト型攻撃の被害は、単なるシステム上の問題に留まらず、個人・法人の資産を脅かし、企業が築き上げた信用を破壊する重大な経営リスクです。

実際に発生した国内の被害事例

国内でも、業種や企業規模を問わずリスト型攻撃による大規模な不正アクセス事件が多発しており、多くの企業が実害を被っています。これは、日本国内でもパスワードの使い回しが常態化していることが一因です。

国内の代表的な被害事例

大手アパレル企業（2019年）: 会員サイトに大規模なリスト型攻撃を受け、46万件以上のアカウントに不正ログインされました。氏名、住所、クレジットカード情報の一部などが閲覧可能な状態となりました。
大手通信事業者（2018年）: 不正ログインされたアカウントを悪用され、高額なスマートフォン端末が勝手に購入される被害が発生。約20万件のログイン試行のうち、数千件で実害が確認されました。
大手流通グループの決済サービス（2019年）: サービス開始直後から不正ログインが多発。クレジットカードから不正にチャージが行われ、最終的にサービス自体の廃止に追い込まれました。

これらの事例は、リスト型攻撃の被害が情報漏洩にとどまらず、直接的な金銭被害に繋がり、最悪の場合は事業の存続そのものを揺るがすほどの破壊力を持つことを示しています。

攻撃の標的となる主な原因

なぜ自社サービスが狙われるのか

自社のサービスがリスト型攻撃の標的となる最大の原因は、自社システムの脆弱性ではなく、利用者が複数のサービスで同じIDとパスワードを使い回しているという習慣にあります。

多くの利用者は、多数のサービスで異なるパスワードを記憶することの困難さから、利便性を優先して認証情報を使い回してしまいます。攻撃者はこの状況を悪用し、まずセキュリティ対策が手薄なサイトを狙って認証情報を大量に窃取します。こうして得られたリストはダークウェブなどで売買され、他のサイバー犯罪者の手に渡ります。

次に攻撃者は、そのリストを使ってより大きな利益が見込めるサービスを標的とします。具体的には、クレジットカード情報が登録されているECサイト、換金性の高いポイント制度を持つ会員サービス、現金を直接動かせる金融機関のシステムなどが狙われやすくなります。

つまり、自社サービスが標的となるのは、「外部で漏洩した認証情報が自社でも通用してしまう」という構造的な弱点と、「自社が保有する情報や資産に経済的価値がある」という2つの要因が重なるためです。企業は、利用者が持ち込む鍵（パスワード）がすでに外部で複製されている可能性を前提とした防衛策を構築する必要があります。

企業が講じるべき実践的対策

対策1：パスワードポリシーの強化

企業がまず取り組むべきは、利用者が設定するパスワードの基準を見直し、安全性の高いパスワードポリシーを策定・運用することです。近年の研究では、パスワードの解読を困難にする有効な要素として、記号の混在といった複雑さよりも文字数そのものの長さが重視される傾向にあります。

新しいパスワードポリシーのポイント

長さの重視: 最低でも12文字以上、推奨としては15文字以上の長いパスワードを要求する。
パスフレーズの許容: 複数の無関係な単語を組み合わせた、長くて覚えやすい「パスフレーズ」の利用を推奨する。
複雑さの強制を避ける: 記号や数字の混在を必須とするルールは、かえって推測されやすいパターンを生むため、強制しない。
定期的な強制変更の廃止: 利用者が安易な変更（末尾の数字を変えるだけなど）に走るため、パスワードの定期的な強制変更は廃止が推奨されている。

古い常識を見直し、長さと推測の困難さに焦点を当てた新しいポリシーを導入することが重要です。

対策2：多要素認証（MFA）の導入

リスト型攻撃に対する強力な技術的対策の一つが、多要素認証（MFA）の導入です。パスワードが漏洩しても、別の認証要素がなければログインを完了できないため、不正アクセスを極めて高い確率で防ぐことができます。

多要素認証は、以下の3つの要素のうち、2つ以上を組み合わせて本人確認を行う方式です。

認証の3要素

知識情報: パスワードやPINコードなど、本人が「知っている」情報。
所持情報: スマートフォンに届くワンタイムパスワードなど、本人が「持っている」物。
生体情報: 指紋や顔など、本人の身体的特徴である「その人自身」の情報。

攻撃者がパスワードを入手できても、利用者のスマートフォンや指紋まで同時に盗むことは物理的に困難です。そのため、多要素認証の導入は、リスト型攻撃を無力化するための確実な投資と言えます。

対策3：不正ログイン検知システムの活用

攻撃者の侵入試行を早期に発見し、被害を未然に防ぐには、アクセス状況を常時監視し、異常を自動検知するシステムの導入が不可欠です。リスト型攻撃は通常のログイン操作を装うため、システムによる機械的なパターン分析が求められます。

不正ログイン検知システムは、膨大なアクセスログをリアルタイムで分析し、以下のような攻撃特有の振る舞いを検知します。

検知システムの監視対象となる異常な振る舞いの例

短時間に単一のIPアドレスから複数のアカウントへのログイン試行がある。
深夜帯など、通常の利用時間外に不自然なアクセスが急増している。
利用者が普段アクセスする国や地域とは異なる海外のIPアドレスから接続要求がある。

異常を検知したシステムは、該当IPアドレスからの通信を自動で遮断したり、アカウントを一時的にロックしたりします。これにより、攻撃者の機械的な試行に対し、運営側も機械的なスピードで防御を展開できます。

対策4：休眠アカウントの定期的な整理

長期間利用されていない休眠アカウントは、セキュリティ設定が更新されず放置されていることが多く、攻撃者にとって格好の標的となります。これらのアカウントを定期的に整理し、無効化または削除する運用を確立することが重要です。

長期間放置されたアカウントは、不正ログインされても本人や管理者が気づきにくく、発覚が遅れる傾向にあります。

休眠アカウントの整理手順

最終ログイン日時を基準に、一定期間（例: 1年以上）利用されていないアカウントをシステムで抽出します。
該当アカウントの所有者に対し、メールなどで利用継続の意思確認を行います。
指定した期間内に応答がなかった場合、アカウントを凍結するか、完全に削除します。

休眠アカウントの整理は、攻撃の標的となる入り口を物理的に減らすという点で、非常にコストパフォーマンスの高いセキュリティ対策です。

対策5：WAFによるアクセス監視

ウェブアプリケーションの前面にWAF（Web Application Firewall）を設置し、通信内容を詳細に監視・遮断することは、リスト型攻撃をはじめとする多様なサイバー攻撃からシステムを守る上で極めて有効です。

WAFは、従来のファイアウォールでは判別できない通信の中身を精査し、不正なリクエストをブロックする専用のセキュリティシステムです。

WAFの主な機能

プログラムによる機械的で異常な頻度のアクセス要求を検知し、自動的に遮断する。
攻撃元と判断したIPアドレスをブラックリストに登録し、以降のアクセスをブロックする。
SQLインジェクションなど、アプリケーションの脆弱性を突く他の攻撃パターンも同時に防御する。

WAFは、不正なトラフィックをシステムの入り口で食い止めることで、背後にあるアプリケーションとデータベースの安全性を強固に守るための必須の基盤です。

セキュリティ対策とユーザー利便性のバランスをどう取るか？

セキュリティ強化策は利用者の手間を増やす傾向にありますが、過度に煩雑なプロセスは顧客離れを招くため、利便性を損なわずに安全性を確保するバランス感覚が不可欠です。利用者に負担を強いるのではなく、システム側でインテリジェントに対応することが求められます。

セキュリティと利便性を両立させる手法の例

リスクベース認証: 普段と異なる端末や場所からのアクセス時のみ、追加認証を要求する仕組み。
生体認証の活用: 指紋や顔認証を導入し、パスワード入力の手間を省きつつ、安全性を高める。
シングルサインオン（SSO）: 一度の認証で連携する複数のサービスにログインできるようにし、パスワード管理の負担を軽減する。

企業は、利用者が意識することなく安全にサービスを利用できる環境を構築することを目指すべきです。

利用者側でできる自己防衛策

パスワードの使い回しを避ける

利用者がリスト型攻撃から身を守るための最も基本的かつ重要な対策は、複数のサービスで同じパスワードを使い回さないことです。この攻撃は、一つのサービスで漏洩した情報が他のサービスでも通用することを前提としているため、使い回しをやめるだけで攻撃の連鎖を断ち切ることができます。

多数のパスワードを覚えるのが難しい場合は、サービスごとに異なる強力なパスワードを自動生成・保存してくれるパスワード管理ツールの導入を検討すべきです。サービスごとに独立した鍵（パスワード）を持つことが、利用者にできる最大の防御策です。

推測されにくいパスワードを設定する

攻撃者のプログラムによって容易に解読されないよう、文字数が長く、推測されにくい強固なパスワードを設定することが重要です。辞書に載っている単語や個人の属性情報は、瞬時に見破られる危険性があります。

パスワード設定のポイント

避けるべき文字列: 名前、生年月日、電話番号、辞書にある単語、`password`や`12345678`など。
推奨される設定: 英大文字・小文字、数字、記号を組み合わせ、最低でも12文字以上の長さを確保する。
パスフレーズの活用: `correct horse battery staple` のように、複数の無関係な単語を繋ぎ合わせることで、長くて覚えやすく、かつ強力なパスワードが作れる。

パスワードの強度はアカウントの安全性に直結します。文字数を十分に確保し、攻撃者が解読を諦めるような設定を心がけましょう。

身に覚えのないログイン通知に注意する

多くのサービスでは、普段と異なる環境からのログインがあった際にメールなどで通知する機能を提供しています。この機能を有効にし、身に覚えのないログイン通知にいち早く気づく習慣をつけることが重要です。不正アクセスに即座に気づければ、被害が拡大する前に対処できます。

ログイン通知を受け取った際の対応

サービスが提供するログイン通知やアラート機能を必ず有効化しておく。
自分が操作していない時間帯や場所からのログイン通知を受け取ったら、すぐに行動を開始する。
直ちに該当サービスにログインし、パスワードを新しいものに変更する。
アカウントの利用履歴や購入履歴を確認し、身に覚えのない操作が行われていないかチェックする。

システムからの警告サインを見逃さず、迅速に対応できる態勢を整えておくことが、被害を最小限に抑える鍵となります。

よくある質問

リスト型攻撃の防御が困難な理由は？

リスト型攻撃の防御が困難な理由は、攻撃の手口が巧妙で、従来の防御策をすり抜けてしまうためです。システム側から見ると、正規の利用者がログインしているように見えることが最大の課題です。

防御が困難な理由

正規の情報を使用する: 攻撃に使われるIDとパスワードの組み合わせ自体は正しいため、システムは正規のアクセスとして処理してしまう。
攻撃元を分散させる: 複数のIPアドレスから少しずつ試行するため、特定のIPアドレスからの大量アクセスとして検知しにくい。
アカウントロックが効きにくい: 1つのアカウントに対する試行回数が少ないため、ログイン失敗回数に基づくアカウントロック機能が作動する前に攻撃が成功してしまう。

このように、正しい情報を使い、かつ異常な振る舞いを隠蔽する手口のため、入り口での認証だけでは攻撃を完全に防ぐことが困難です。

被害発覚時に企業が最初に行うべきことは？

リスト型攻撃の被害が発覚した際に企業が最優先すべきことは、被害の拡大を即座に食い止めるための緊急の封じ込め措置です。原因究明よりも、まずは現在進行中の被害を止めることが鉄則です。

被害発覚時の初動対応手順

不審なアクセス元（IPアドレスなど）を特定し、システムへの通信を即時遮断する。
被害を受けた可能性のあるアカウントを特定し、パスワードを強制的にリセットするか、アカウントを一時凍結する。
影響を受ける利用者に対し、速やかに状況を通知し、パスワードの再設定など、必要な対応を案内する。
これらの封じ込め措置を最速で実行し、被害拡大を防止した上で、詳細な原因調査に着手する。

まず出血を止めるための迅速な行動が、インシデント対応において最も重要です。

IPAが推奨する具体的な対策とは？

独立行政法人情報処理推進機構（IPA）は、利用者がパスワードの使い回しを避けつつ、管理負担を軽減するための現実的な手法として、コアパスワードを利用した作成方法を推奨しています。

コアパスワード方式によるパスワード作成手順

自分だけが覚えられる、ある程度長くて複雑な「コアパスワード」（基本となる文字列）を一つだけ決めて記憶します。
利用するサービスごとに、そのサービスを連想させる短い「識別子」（例: Amazonなら`amz`）を考えます。
「コアパスワード」と「識別子」を自分なりのルールで組み合わせ（例: `コアパスワード+amz`）、サービスごとに異なるパスワードを生成します。

この方法を実践すれば、利用者は一つの基本パスワードを覚えるだけで、サービスごとに異なる強固なパスワードを管理でき、リスト型攻撃に対する耐性を高めることができます。

被害を公表する際の注意点とタイミングは？

サイバー攻撃の被害を公表する際は、顧客や社会に対する透明性の確保と、さらなる攻撃を誘発しないための慎重な情報統制という、2つの側面のバランスを取る必要があります。

被害公表時の注意点

タイミング: 初期の封じ込め措置が完了し、影響範囲がある程度特定できた段階で第一報を公表するのが一般的です。
公表すべき情報: 発生した事実、漏洩した可能性のある情報の種類、現在の対応状況、利用者へのお願いなどを誠実に伝えます。
公表を避けるべき情報: 侵入された具体的な経路やシステムの脆弱性に関する詳細、導入しているセキュリティ製品名など、攻撃者にヒントを与える情報は開示しません。

企業は、説明責任を果たすことと、自社の防御体制を守ることの両立を考え、公表する情報の内容とタイミングを慎重に判断する必要があります。

まとめ：リスト型攻撃の被害を防ぎ、企業の信用を守るための対策

リスト型攻撃は、他社で漏洩した認証情報を悪用する手法であり、自社にシステムの脆弱性がなくても深刻な情報漏洩や金銭的被害に繋がる脅威です。この攻撃の根本原因は利用者のパスワード使い回しにあるため、企業は多要素認証の導入や不正ログイン検知といった技術的対策と、利用者への啓発を両輪で進める必要があります。まずは自社の認証システムを見直し、特に多要素認証（MFA）が未導入であれば、その実装を最優先で検討することが、被害を未然に防ぐための重要な一歩となります。万が一被害が疑われる場合は、被害拡大を防ぐための初動対応が極めて重要です。本記事で紹介した対策は一般的なものに留まるため、具体的なセキュリティポリシーの策定やインシデント対応については、必ず専門家の助言を仰いでください。