パスワードリスト攻撃

他のサービスから流出したIDとパスワードの組み合わせを使い、別のサービスへの不正ログインを試みる攻撃手法。パスワードの使い回しを悪用する。

他のサービスから流出したID・パスワードのリストを使って、別のサービスへの不正ログインを試みる攻撃。複数のサービスで同じパスワードを使い回している利用者が被害に遭いやすい。

どこかで漏えいしたIDとパスワードの組を、別のサービスでそのまま試す攻撃。同じパスワードを使い回している利用者が突破される。サービスごとに異なるパスワードを使うことが対策となる。

他のサイトから流出したIDとパスワードの組をそのまま別のサイトで試す攻撃。クレデンシャルスタッフィングとも呼ばれ、パスワードの使い回しが被害の前提となるため、サイトごとに異なるパスワードや多要素認証が対策となる。

他のサービスから流出したIDとパスワードの組合せのリストを使い、別のサービスへ自動的にログインを試みる攻撃。パスワードの使い回しを狙うもので、パスワードリスト攻撃とも呼ばれ、多要素認証や、短時間の大量のログイン試行の検知で対策する。

辞書に載っている単語や人名、よく使われる文字列を候補としてパスワードを試行する攻撃。単純な単語をパスワードにしていると短時間で破られる。アカウントロックや推測されにくいパスワード規則で対策する。

考えられるすべての文字の組合せを機械的に試してパスワードや鍵を解読する総当たり攻撃。パスワードの文字種と桁数を増やすほど試行回数が指数的に増え、現実的な時間で破れなくなる。アカウントロックも有効な対策。

パスワードを固定し、利用者IDのほうを次々と変えて試行する攻撃。1つのアカウントへの連続失敗にならないため、アカウントロック機能では検知しにくい。同一IPからの試行回数の監視などが対策となる。

パスワードのハッシュ値と平文の対応を効率的に圧縮した表（レインボーテーブル）を用いて、窃取したハッシュ値から元のパスワードを高速に逆引きする攻撃。ソルトを付与してハッシュ化すれば事前計算した表が使えなくなる。

攻撃者があらかじめ用意したセッションIDを利用者に使わせ、その利用者が認証を済ませた後に同じIDでセッションを乗っ取る攻撃。認証成功時にセッションIDを再発行することが基本的な対策となる。

正規の利用者が送信した認証情報などのデータを盗聴して記録し、そのまま再送信して不正にアクセスする攻撃。内容を解読できなくても成立する。ワンタイムパスワードやチャレンジレスポンス認証、乱数（ノンス）の利用で防ぐ。