他社のWebサービスなどから流出したアカウント(ユーザーIDとパスワード)のリストを使って、別のWebサービスに対して不正ログインを試みる「リスト型攻撃」が後を絶たない(図1)。国内ネットサービスの多くが被害に遭っている(関連記事:「リスト型攻撃」が止まらない)。 リスト型攻撃は、「リスト攻撃」「パスワードリスト攻撃」「アカウントリスト攻撃」などと呼ばれている。2013年末ごろからは、総務省が発表資料などで「リスト型アカウントハッキング」という名称を使っているため、Webサービス提供者なども、この名称を使うようになっている(関連記事:リスト型アカウントハッキング)。 リスト型攻撃では、特定のIPアドレスから、数万回から数百万回にわたって不正なログインが試行される。だが、一つのユーザーIDに対するログイン試行は1~2回であることがほとんどなので、正規ユーザーのログイン試行と区別することが難し