パスワードリスト攻撃

他のサービスから流出したIDとパスワードの組み合わせを使い、別のサービスへの不正ログインを試みる攻撃手法。パスワードの使い回しを悪用する。

どこかで漏えいしたIDとパスワードの組を、別のサービスでそのまま試す攻撃。同じパスワードを使い回している利用者が突破される。サービスごとに異なるパスワードを使うことが対策となる。

他のサイトから流出したIDとパスワードの組をそのまま別のサイトで試す攻撃。クレデンシャルスタッフィングとも呼ばれ、パスワードの使い回しが被害の前提となるため、サイトごとに異なるパスワードや多要素認証が対策となる。

他のサービスから漏えいしたIDとパスワードの組をそのまま別のサービスで試行する攻撃。クレデンシャルスタッフィングとも呼ばれ、パスワードの使い回しが被害を拡大させる。多要素認証やリスクベース認証が有効な対策。

他のサービスから流出したIDとパスワードの組合せのリストを使い、別のサービスへ自動的にログインを試みる攻撃。パスワードの使い回しを狙うもので、パスワードリスト攻撃とも呼ばれ、多要素認証や、短時間の大量のログイン試行の検知で対策する。

技術的な手法ではなく、人間の心理的な弱点を突いて情報を詐取する手法。電話で管理者を装ってパスワードを聞き出す、肩越しに画面を覗き見る（ショルダーハッキング）、ゴミ箱を漁る（トラッシング）などの手口がある。

取引先や経営者などになりすましたメールを送り、偽の銀行口座へ送金させるなどの詐欺。攻撃者はメールのやり取りを事前に盗み見て、適切なタイミングで偽のメールを送りつける。

正当な利用者やシステムを装って不正に活動する行為。他人のIDやパスワードを使ってログインしたり、IPアドレスやメールアドレスを偽装して通信したりする手法がある。

辞書に載っている単語やよく使われるパスワードのリストを使って、パスワードを解読する攻撃手法。一般的な単語やフレーズを組み合わせて試行するため、単純なパスワードは容易に破られる。

パスワードとして考えられるすべての文字の組み合わせを順番に試行して、正しいパスワードを見つけ出す攻撃手法。ブルートフォース攻撃とも呼ばれる。時間がかかるが、十分な時間があれば必ず解読できる。パスワードの長さや複雑さで対抗する。

Webアプリケーションの脆弱性を悪用して、利用者のブラウザ上で不正なスクリプトを実行させる攻撃。攻撃者が仕込んだスクリプトにより、Cookie情報の窃取やセッションハイジャック、偽のページ表示などが行われる。