パスワードリスト攻撃

パスワードリスト攻撃は、多くの人が同じIDとパスワードを複数のサービスで使い回していることを悪用します。あるサービスから漏れた組の一覧を手に入れた攻撃者は、それを使ってほかのサービスに自動でログインを試し、成功したアカウントを乗っ取ります。

利用者の側の備えは、パスワードをサービスごとに変えること、多要素認証を使うことです。サービスを運営する側は、短い時間に同じ接続元から多くのログインが試されたときに制限をかける、普段と違うログインを知らせる、漏えいが知られているパスワードを使えないようにする、といった対策をとります。

社員のアカウントが狙われると、会社のメールやクラウドのサービスに入られるおそれがあります。社内の決まりで使い回しを禁じるだけでなく、多要素認証やパスキーなど、パスワードだけに頼らない仕組みを広げることが備えになります。