パスワードリスト攻撃の最大の特徴は、攻撃者が「すでに本物（そのユーザー自身）が設定していた正しいパスワード」を入力するため、システム側で通常の「ブルートフォース攻撃（総当たり）」を防ぐためのセキュリティフィルターをすり抜けやすい点にあります。各ユーザーIDに対する入力間違いが1回のみ（リストに載っている正しいと思われるペアを1度だけ試す）となるため、「3回連続で間違えたらアカウントをロックする」といった標準的な防御設定が機能しません。そのため、サービス事業者側にとっても検知と対策が極めて難しい攻撃として知られています。
試験において「パスワードリスト攻撃」は、その攻撃手法の定義（別のサイトから流出したIDとパスワードの組み合わせを使い、異なるWebサービスにログインを試みる）を正しく理解し、他の攻撃（ブルートフォース攻撃やフィッシング）と区別できるかがまず基本です。そして、サービス提供者側およびユーザー側で実施すべき「有効な対策」について出題されます。
・ユーザー側の対策： パスワードを絶対に使い回さないことです。サービスごとに異なるパスワードを設定し、管理を容易にするためにパスワード管理ツールを活用することが推奨されます。
・サービス提供者側の対策：
1. 多要素認証（MFA）の導入： パスワード情報がリストと一致しても、もう一つの認証要素（ワンタイムパスコードや生体情報など）を要求することでログインを防ぎます。
2. リスクベース認証（適切な追加認証）： ユーザーがいつもと異なるデバイス、あるいは異なる国やIPアドレスからログインを試みた際に、事前に登録された本人宛てに確認コードを送って認証を求める仕組みです。
3. 不審なアクセスの遮断： 短時間で無数の異なるアカウントに対してログイン試行を行うプログラム（ボット）特有のアクセスを検知して遮断します。
あらゆる文字の組み合わせを順に試す「ブルートフォース攻撃」、パスワードと他の要素を組み合わせる「多要素認証」、接続環境の不審さに基づいて追加の認証を要求する「リスクベース認証」などがあります。