パスワードリスト攻撃とは、ある特定のWebサイトやサービスから何らかの原因で漏洩した「ID（メールアドレス）とパスワードのリスト」を使い、別の全く異なるWebサイトやサービスに対して自動プログラムを用いてログインを試みる攻撃手法です。多くのインターネット利用者が、複数のサイトで同じIDやパスワードを使い回している（使い回し癖がある）という人間の心理的な行動パターンを悪用しています。攻撃が成功すると、会員情報の窃盗やポイントの不正利用、なりすましによる不正送金などの被害が発生します。
個人で運営されている小規模なネットショップから漏れたIDとパスワードのリストを悪用し、ハッカーがその情報を使って大手SNSや銀行のログインページに片っ端からログインを試み、同じパスワードを使っていたユーザーのアカウントを乗っ取る事例。
[漏洩元サイトA] --(流出したID・PASSリスト)--> [攻撃者]\n | (別のサイトBへ一斉にログイン試行)\n v\n [銀行やSNS等のサイトB] (使い回し口座が乗っ取られる)