2025年6月、アパレル通販サイト「PAL CLOSET」に172万2,379回のログインが試みられ、そのうち19万4,307件が通りました。使われたのは、どこか別のサービスから漏れたIDとパスワードの一覧です。試行回数に対するログイン成立件数の割合は約11.3%です。
他社から流出したIDとパスワードの組み合わせを、別のサービスのログイン画面でそのまま試す攻撃を、パスワードリスト攻撃と呼びます。パスワードを片端から推測していく攻撃と違い、どこかで一度は正解だった組み合わせを持ち込みます。だから当たる確率が高く、しかもログインの記録には正常な成功として残ります。
情報システムの担当者にとって厄介なのは、原因が自社の外にあることです。社員が他社のサービスで同じパスワードを使っていれば、自社のシステムをどれだけ堅く作っても、正しいIDとパスワードでログインされます。警察庁の令和7年の検挙統計では、他人のIDとパスワードを使う「識別符号窃用型」の不正アクセスは399件でした。そのうち「社員・会員用等の専用サイト」が122件（30.6%）で最多です。社員向けと会員向けをまとめた区分のため、社内サイトだけの被害割合は分かりません。
打ち返す側の答えは、パスワード1つでは入れない状態を作ることに集約されます。多要素認証（MFA）でログインの条件をもう1つ増やし、シングルサインオンでサービスごとのパスワードを減らし、正しい認証情報での侵入を見つけるITDR（アイデンティティ脅威検知・対応）で成功したログインの異常に気づく。この3つが揃うと、リストを持ち込まれても被害が止まります。
LOCKED は、シングルサインオンと多要素認証で認証を束ねる LOCKED MSO、アカウントの発行・停止・棚卸しを自動化する LOCKED DAS、フィッシング訓練の LOCKED ATP を組み合わせ、どこかで漏れたパスワードが使われても社内に入られない状態を作るサービス群です。
無料で製品資料をお送りしています。不正ログイン対策の現状整理にお使いください。 製品資料をダウンロードする →
パスワードリスト攻撃とは、他社から漏れたIDとパスワードを別のサービスで試す攻撃
攻撃者は、流出した「ID（多くはメールアドレス）とパスワードの組」の一覧を用意します。これをログイン画面に自動で流し込み、通ったものだけを選り分ける。総務省はこの手口を「リスト型アカウントハッキング」と名付け、2013年12月に事業者向けの対策集を公開しました。英語では認証情報を詰め込む動作からクレデンシャルスタッフィングと呼ばれます。
成り立つ前提は、利用者が複数のサービスで同じパスワードを使っていることです。総務省の対策集が引用した当時の調査では、1人あたり約14のサイトでログインが必要なのに対し、約7割の利用者が3種類以下のパスワードを使い回していました。サービスの数はその後さらに増えています。
攻撃者のリストは、他社の漏洩データと情報窃取ツールの出力からできている
入手経路は大きく3つあります。1つは他社サービスからの大規模な流出で、掲示板やファイル共有サイトに出回ったものが使われます。2つ目はフィッシングサイトで本人に入力させたもの。3つ目は、利用者の端末に忍び込んでブラウザの保存パスワードを抜き出すマルウェア（情報窃取ツール）の出力です。
他人のIDとパスワードを使って入る不正アクセスを、警察庁は識別符号窃用型と分類しています。令和7年に検挙されたこの類型は399件でした。IDとパスワードの入手方法を見ると、最も多いのは「パスワードの設定・管理の甘さにつけ込んで入手」の84件（21.1%）です。次が「フィッシングサイトから入手」の77件（19.3%）、「他人から入手」が75件（18.8%）と続きます。「識別符号を知り得る立場にあった元従業員や知人等による犯行」も61件（15.3%）あります。
ここで注意が必要なのは、この統計がパスワードリスト攻撃だけを切り出したものではない点です。検挙に至った事件の分類であり、流出情報の悪用という区分は「インターネット上に流出・公開されていた識別符号を入手」の9件（2.3%）に限られます。攻撃全体の規模を測る数字ではなく、警察が立件できた範囲の内訳として読むべきものです。
総務省は2013年にこれを「リスト型アカウントハッキング」と呼んで対策集を出した
総務省の対策集は、攻撃を予防する対策として7項目を挙げています。
- ID・パスワードの使い回しに関する注意喚起
- パスワードの有効期間設定
- パスワードの履歴の保存
- 二要素認証の導入
- ID・パスワードの適切な保存
- 休眠アカウントの廃止
- 推測が容易なパスワードの利用拒否
被害の拡大を防ぐ対策は4項目です。アカウントロックアウト、特定のIPアドレスからの遮断、普段とは異なるIPアドレスからの遮断、そしてログイン履歴の表示です。
公表から12年あまりが経ち、このうち「パスワードの有効期間設定」は今の指針と食い違っています。総務省自身が現在の啓発サイトで、流出や不正利用の事実がなければ定期的な変更は必要ないと説明しています。残りの10項目は、今読んでも通用する内容です。
SSOだけでは不十分 SSO×IGA一気通貫
SSOだけでは防げないセキュリティリスクを明らかにし、IGAとの統合による一気通貫のID管理がなぜ必要かを解説します。
ブルートフォース攻撃や辞書攻撃との違いは、当てずっぽうをしない点にある
パスワードを狙う攻撃は、推測するものと、答えを持ち込むものに分かれます。
| 攻撃 | やり方 | 1アカウントあたりの試行 |
|---|---|---|
| パスワードリスト攻撃 | 他社から漏れたIDとパスワードの組を試す | 1〜数回 |
| ブルートフォース攻撃 | 文字の組み合わせを機械的に総当たりする | 膨大（4桁の数字でも1万通り） |
| 辞書攻撃 | 辞書の単語や定番のパスワードを順に試す | 数千〜数万回 |
| パスワードスプレー攻撃 | よくあるパスワード1つを、大量のIDに横に試す | 1〜数回 |
違いが実務に響くのは、アカウントロックの効き方です。総当たりや辞書攻撃は同じIDに何度も失敗するので、数回の失敗でロックする設定が効きます。パスワードリスト攻撃は1つのIDに1〜2回しか試さないため、失敗回数の上限に引っかかりません。パスワードスプレー攻撃も同じ性質を持ち、この2つは失敗回数を数える防御をすり抜けます。
識別符号窃用型の検挙399件では「社員・会員用等の専用サイト」が最多
令和7年に検挙された識別符号窃用型の不正アクセス399件を、不正に利用されたサービスの種類で分けると、「社員・会員用等の専用サイト」が122件（30.6%）で最多でした。次いでコミュニティサイトが92件（23.1%）、インターネットショッピングが67件（16.8%）、インターネットバンキングが46件（11.5%）です。
この30.6%は、検挙された識別符号窃用型399件を分母とした割合です。不正アクセス全体やパスワードリスト攻撃全体の割合ではありません。また、「社員・会員用等の専用サイト」は社員向けと会員向けをまとめた区分であり、この統計から社内サイトと消費者向けサイトの被害の多さを比較することはできません。
令和7年の認知件数は7,190件で、前年から34.2%増えた
警察庁が令和8年3月に公表した統計では、令和7年の不正アクセス行為の認知件数は7,190件でした。前年の5,358件から1,832件、約34.2%増えています。4年前の令和3年は1,516件でしたから、4.7倍に増えた計算です。
検挙件数は431件・248人で、前年より132件減りました。認知が増えて検挙が減っている状況です。手口別の内訳では、他人のIDとパスワードを使う侵入が9割以上を占めたままで、脆弱性を突く侵入はごく一部にとどまります。
証券口座の不正取引は2件から1,484件に跳ねた
不正アクセスの後に何が行われたかを見ると、令和7年に目立つ変化が1つあります。「証券会社のインターネット取引サービスでの不正取引等」が1,484件で、前年はわずか2件でした。「インターネットバンキングでの不正送金等」は4,747件で相変わらず最多です。
証券口座の乗っ取りが1年で700倍以上に増えた背景として、フィッシングで集めた認証情報の悪用が指摘されています。攻撃者が「どこで現金化するか」を乗り換えると、同じ手口の被害が特定の業種に一気に集まります。自社の業種が標的になっていないことは、安全の根拠になりません。
認証の設計を点検したい方へ。最短30分の個別相談で現状をお伺いします。 デモ・個別相談を申し込む →
リスト型攻撃の実例：172万回の試行のうち19万件のログインが通った
株式会社パルは2025年6月20日の公表資料で、攻撃の試行回数とログイン成立件数を示しています。2025年6月15日から16日にかけて、第三者が外部から入手した情報を使い、同社の通販サイト「PAL CLOSET」にログインを試みました。試行回数は172万2,379件で、そのうち19万4,307件でログインが成立しています。同社はこれをリスト型アカウントハッキングによるものと推測しています。
閲覧された可能性があるのは、会員情報ページに載っている氏名、カナ、性別、生年月日、郵便番号、住所、電話番号、バーコード番号です。どの会員のページが見られたかは、システムの仕様上特定できていません。クレジットカード情報は同社が保持していないため流出していません。
対応は速く、6月16日付で全会員のパスワードを無効化し、6月20日付で該当する顧客にメールを送り、個人情報保護委員会へ報告しています。
公表されたログイン成立件数を試行回数で割ると、約11.3%です。これは試行単位の割合であり、会員の約11.3%が被害を受けたという意味ではありません。公表資料には、同じアカウントへの繰り返しを除いた試行対象者数と被害者数は示されていないため、この割合から会員や社員の被害人数を推計することはできません。
パスワードリスト攻撃が防ぎにくいのは、認証そのものが成功しているから
攻撃者が入力するのは、正しいIDと正しいパスワードです。認証の仕組みから見れば、それは本人のログインと区別がつきません。ログイン失敗の監視、パスワードの複雑さの強制、脆弱性の修正は、いずれもこの攻撃の成功そのものを止めません。
アカウントロックは、試行を分散されると引っかからない
自動化された攻撃は、1つのIDに1回試して次のIDへ移ります。1万件のリストがあれば1万人に1回ずつ試すので、どのアカウントも失敗回数の上限に達しません。送信元のIPアドレスも世界中の踏み台に分散され、同一IPからの連続試行として検知する方法も通りにくくなっています。
社員が他社サービスで使い回したパスワードは、会社の管理が届かない
自社が管理できるのは、自社のシステムのパスワード強度と有効期限です。社員が個人で使う通販サイトや掲示板のパスワードには手が出せません。そこに会社のメールアドレスと同じパスワードを登録されていれば、他社の流出がそのまま自社への攻撃材料になります。研修で使い回しをやめるよう呼びかけても、全員が守る保証はありません。徹底を前提に設計するのは危険です。
企業側の対策は、パスワード1つでは入れない状態を作ること
使い回しを根絶できない前提に立つと、やるべきことは絞られます。パスワードが漏れていても入れない、入られても気づく、入られる範囲を狭めておく。この3方向です。
多要素認証を入れると、正しいパスワードだけでは通らなくなる
最も効く対策です。パスワードに加えて、認証アプリの確認コード、生体認証、クライアント証明書のいずれかを求めれば、リストを持ち込んだだけではログインが完了しません。総務省の対策集も2013年の時点で二要素認証の導入を予防策に挙げています。
導入でつまずくのは運用のほうです。全社員の端末登録、紛失時の再発行、社外の協力者の扱いを先に決めておかないと、現場が例外の運用を作り、そこが穴になります。認証アプリ・生体認証・クライアント証明書のどれを標準にするかも、紛失時の手間が変わるので早めに決めます。
シングルサインオンで、サービスごとのパスワードをなくす
SaaSごとにIDとパスワードを持つ状態は、使い回しを生む温床です。シングルサインオンで入口を1つにまとめれば、社員が覚えるパスワードは1つになり、その1つを強くすることに集中できます。各SaaSのログイン画面を直接使えないよう設定すれば、流出した個別サービスのパスワードは使い道がなくなります。
入口を1つにすることは、守る対象を1つにすることと同じです。だからこそ、そこに多要素認証を重ねるのが前提になります。
休眠アカウントと退職者のアカウントを止める
使われていないアカウントは、乗っ取られても誰も気づきません。総務省の対策集が休眠アカウントの廃止を挙げているのはこの理由です。警察庁の統計で元従業員や知人による犯行が61件（15.3%）を占めている点も見逃せません。退職の処理が漏れたアカウントは、本人が悪意を持ったときにそのまま使えます。
入社と退社に合わせてアカウントを作り、止める。この流れを手作業で回していると必ず取り残しが出るので、アカウント棚卸の自動化で定期的に突き合わせる仕組みを作っておきます。
普段と違うIPアドレスや端末からのログインを遮断する
攻撃の送信元は、社員が普段使うネットワークとは違います。会社のIPアドレスからのログインだけを許可する、登録済みの端末以外を弾く、といった条件を足せば、正しいパスワードでも入れません。総務省の対策集が「普段とは異なるIPアドレスからの通信の遮断」を挙げた考え方を、クラウド前提の環境に移したものです。
漏洩済みのパスワードを使わせない
米国立標準技術研究所（NIST）の指針 SP 800-63B-4 は、照合を事業者の義務として書いています。パスワードの設定や変更を受け付けるときに、既知の流出パスワードや定番のパスワードの一覧と突き合わせることを求める規定です。同じ指針は、パスワード単独で認証する場合は15文字以上、多要素認証の一部として使う場合は8文字以上を要求し、定期的な変更を利用者に強制してはならないとしています。
流出リストとの照合は、攻撃者が持っているものを先に自分で確認する発想です。自社のドメインのメールアドレスが流出データに含まれていないかは、Have I Been Pwned のドメイン検索でも確かめられます。
成功したログインの異常に気づく仕組みを持つ
失敗を数える監視では足りないので、成功したログインを見ます。深夜の時間帯、海外からの接続、同じアカウントが短時間に別の地域から使われる、普段使わないSaaSに入る。こうした振る舞いの変化を拾って止めるのが、アイデンティティを軸にした脅威検知の役割です。ログインの記録を1か所に集めて見られるようにしておくことが、その前提になります。
従業員に頼むのは、使い回しをやめる一点に絞る
注意喚起の項目を増やすと、どれも守られなくなります。伝えるべきことは、会社のメールアドレスとパスワードの組み合わせを他のサービスで使わないこと、これだけです。
パスワードの定期変更はもう求めない
3か月ごとの変更を義務づけると、末尾の数字を1つ増やすだけの運用が生まれ、かえって推測しやすくなります。総務省は現在の啓発サイトで、流出や不正利用の事実がなければ定期的な変更は不要だと説明しており、NISTの指針も定期変更の強制を禁じています。変えるのは、漏れたと分かったときです。
管理ツールに覚えさせ、漏洩を自分で確認してもらう
サービスごとに違う長いパスワードを人が覚えるのは無理があります。パスワード管理ツールに生成と保管を任せ、ツール自体を多要素認証で守る形にすれば、使い回しの動機そのものがなくなります。自分のメールアドレスが過去の流出に含まれていないかを確認する手段も、合わせて案内しておくと動きやすくなります。
不正ログインが起きた後は、パスワードの無効化と報告を同時に進める
被害が確認されたら、対象アカウントのパスワードを無効化して再設定を促します。パルの事案では、発覚翌日に全会員のパスワードを無効化しています。個別の特定を待たず全体を止める判断は、被害の拡大を抑える面では妥当です。
報告の義務も同時に動きます。不正アクセスによって個人データが漏れた、あるいは漏れたおそれがある場合は、件数にかかわらず個人情報保護委員会への報告対象です。速報は発覚からおおむね3〜5日以内、確報は30日以内で、不正の目的による行為のおそれがある場合は60日以内となります。リスト型攻撃は不正の目的による行為に当たるため、確報の期限は60日側で考えることになります。
本人への通知も必要です。どのアカウントが閲覧されたかを特定できないケースが多いので、対象範囲の線引きを広めに取る判断が求められます。
使い回しは止められない。前提にして設計する
IPAの「情報セキュリティ10大脅威 2026」で、組織向けの上位に不正ログインは入っていません。1位はランサム攻撃、2位はサプライチェーンや委託先を狙った攻撃です。一方で個人向けの10大脅威には「インターネット上のサービスへの不正ログイン」が挙げられています（個人向けは順位をつけず五十音順で掲載されています）。この非対称が、この攻撃の性質をよく表しています。原因は個人のパスワード管理にあり、被害は組織が受けます。
社員の習慣を変える努力に賭けるより、パスワードが漏れている前提で認証を組み直すほうが確実です。多要素認証でもう1つの条件を足し、シングルサインオンでパスワードの数を減らし、休眠アカウントを閉じ、成功したログインの異常を見る。次に着手すべきは、自社のどのサービスがパスワードだけで入れる状態のまま残っているかを数えることです。
現状の棚卸しから多要素認証・シングルサインオンの設計まで、無料でご相談を承っています。 資料請求・デモ依頼はこちら →
参考資料
- 警察庁・総務省・経済産業省：不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況（令和8年3月12日）
- 総務省：リスト型アカウントハッキングによる不正ログインへの対応方策について（平成25年12月）
- 総務省：国民のためのサイバーセキュリティサイト「安全なパスワード管理」
- 株式会社パルグループホールディングス：6/15に発生した不正ログインについてのご報告
- IPA：情報セキュリティ10大脅威 2026
- NIST SP 800-63B-4 Digital Identity Guidelines: Authentication and Authenticator Management
- 個人情報保護委員会：漏えい等の対応とお役立ち資料