EC用語集・運営・物流・法令・AI

リスト型攻撃とは？

読み：りすとがたこうげき／Credential stuffing

意味: ほかのサイトなどから不正に入手したIDとパスワードの組み合わせ（リスト）を使い、別のサイトへのログインを試みる攻撃。不正ログインの代表的な手口です。
例: ECサイトの会員アカウントに不正にログインされ、登録済みのクレジットカードやポイントを使って商品を購入される、といった事例が個人情報保護委員会事務局の資料で紹介されています。

リスト型攻撃とは

個人情報保護委員会事務局は、リスト型攻撃を、攻撃対象とは別のWebサイトなどから不正に入手したIDとパスワードの組み合わせの一覧を使ってログインを試みる手口と説明しています。同じIDとパスワードを複数のサイトで使う傾向が悪用される攻撃です。

なお、クレジットカード・セキュリティガイドラインでは「リスト型攻撃」を、システムを使って短時間に大量の決済などを行うことという意味でも使っています。資料を読むときは、どちらの意味かを確認すると混乱を防げます。

ECサイトで起きる被害

ガイドラインでは、会員登録型のEC加盟店が主流となるなかで、IDやパスワードを悪用したカードの不正利用が増えているとされています。個人情報保護委員会事務局の資料でも、会員用サイトへの不正ログインで会員情報を閲覧され、ポイントを使って商品を購入された事例が紹介されています。手口は大きく二つに分けられています。

アカウント乗っ取り：盗まれたログイン情報で本人になりすましてログインし、登録済みのカードやポイントで購入する
不正アカウント作成：盗まれた個人情報やカード情報を使って、新しいアカウントを不正に登録する

EC加盟店に求められる不正ログイン対策

2025年3月に取りまとめられたガイドライン【6.0版】で、「適切な不正ログイン対策の実施」がEC加盟店の指針対策に加わりました。会員登録時・ログイン時・属性情報の変更時の場面を考え、導入ガイド【附属文書20】の対策から1つ以上を導入するとされ、次の対策を優先して導入することが望ましいとされています。

不審なIPアドレスからのアクセス制限
2段階認証や多要素認証による本人確認
会員登録時の個人情報の確認
ログイン試行回数の制限の強化
ログイン時や登録情報の変更時のメール・SMS通知
属性・行動分析、デバイスフィンガープリント

お客様への案内と管理画面の守り

個人情報保護委員会事務局は、事業者側の対策として多要素認証や不正ログインを検知するツールの導入を挙げ、利用者には他サイトとのパスワードの重複を避けるよう案内することが有効としています。不正ログインの被害に遭ったお客様を責めるのではなく、店舗側の仕組みで被害を小さくする考え方が大切です。

あわせて、自社のシステムからIDやパスワードの一覧を盗まれないようにする対策も欠かせません。店舗の管理画面や外部サービスのアカウントも狙われます。IPAは2026年10月の注意喚起で、多要素認証の導入、ログイン失敗の量やログイン元IPアドレスなどのログの確認、アカウントの棚卸しを挙げています。

リスト型攻撃のよくある質問

お客様のパスワードの使い回しが原因なら、店舗は何もしなくてよいのでしょうか？

ガイドラインでは、会員登録型のEC加盟店に適切な不正ログイン対策の実施が求められています。お客様にパスワードの使い回しを避けるよう案内しつつ、店舗側でもログイン通知や試行回数の制限、多要素認証などを組み合わせて備えることが大切です。

2段階認証を入れると、お客様の手間が増えませんか？

ガイドラインの対策表では、2段階認証や多要素認証はログイン時と登録情報の変更時に有効な対策とされています。ほかにも属性・行動分析やデバイスフィンガープリントのように、お客様の操作を増やしにくい対策もあるため、場面ごとに組み合わせを検討するとよいでしょう。

リスト型攻撃について詳しく読む

出典

2026年10月22日に確認した内容です。制度や機能は変わることがあるため、最新は公式の情報をご確認ください。

運営・物流・法令・AIのほかの用語

EC用語集の一覧へ