パスワードリスト攻撃は、どこかのサービスから漏れたIDとパスワードの組み合わせ（リスト）を使って、別のサービスに次々とログインを試す攻撃です。パスワードを使い回している人は、1つのサービスからの漏洩で、メール・SNS・通販サイトのアカウントまで乗っ取られます。
なぜ成功してしまうのか
攻撃者は、漏れたリストを自動でたくさんのサービスに試します。パスワードの強さは関係ありません。どれほど複雑なパスワードでも、同じものを使っていれば、そのまま入られてしまいます。
確実な防ぎ方
- サービスごとに違うパスワードにする。覚えきれないならパスワードマネージャーを使う（解説）
- 2段階認証（多要素認証）をオンにする。パスワードが合っていても、スマホでの確認がないとログインできない（解説）
- 使えるサービスではパスキーに切り替える（解説）
優先順位：全部を一度に変えるのが大変なら、メール、Apple・Googleのアカウント、お金が動くサービスから変えてください。メールが乗っ取られると、他のサービスのパスワードを再設定されてしまうからです（使い回しはなぜ危ない？）。