[PR] もはや、パスワードは「無力」
第三世代認証への移行を進めよう

MOEKO●最近、高校生がAIを使って自作したプログラムを使って企業のシステムに不正侵入し、勝手に会員を退会させた事件がありました。サイバー攻撃が簡単にできるようになって、セキュリティの脅威がますます広がっているように思えて怖いんですけど、最近のセキュリティインシデントに何か変化はありますか。

西尾先生●ソフトウェア単体のセキュリティ水準が上がって、それらを守る外部のセキュリティ機器のクオリティも上がっています。さらにこれらの導入率も上がってきている中で、脆弱性があれば容易に侵入できるという状況ではなくなっています。そうなるとソフトウェアの脆弱性を狙うよりも人（ユーザー）をだます方がコストパフォーマンスが良いという状況になっています。

　最近は精巧なフィッシングメールで人をだまして、「InfoStealer」のようなマルウェアを仕込んで認証情報を取得し、正規の認証情報で正常にログインしてシステムにアクセスすることで、厳しい防御壁をかいくぐる労力や時間を節約する手口が増えています。

MOEKO●すみません、InfoStealerって何ですか。

西尾先生●InfoStealerとは端末に侵入し、Webブラウザーなどに保存されているID・パスワードやクレジットカード情報などの認証情報を窃取することに特化したマルウェアです。よく知られているマルウェアはデータを暗号化したりデバイスをロックしたりするため感染するとユーザーが気付きやすいのですが、InfoStealerのようなマルウェアはバックグラウンドに潜伏して活動するため感染に気付きにくく、例えばパスワードを変えても常に最新の認証情報が攻撃者に盗み出されるという危険があります。

MOEKO●やっぱり大企業や有名な組織が狙われるんですね。

西尾先生●事件の被害者は確かに大企業ですが、認証情報が狙われるのは中小企業なんです。先ほどの二つのインシデントでも各社が契約もしくは業務委託していたサプライチェーンの末端で使われていた端末がInfoStealerに感染し、そこからシステムへのログインに必要なアカウントとパスワードが漏れ、その認証情報を悪用して大企業のシステムに侵入したというのが事件の経緯です。

　調査や統計を見ると、想像以上に中小企業で使われている端末がすでにInfoStealerに感染しているという印象です。ですから特に中小企業の皆さんは、ランサムウェアに感染した症状が出ていなくても、すでにInfoStealerに感染していて認証情報が攻撃者およびダークウェブなどに流通している可能性が高いと認識して、すぐに対策を講じるべきです。

仲西さん●InfoStealerに感染していると、常に認証情報が外部に漏えいしているわけですから、パスワードの文字数を増やしたり文字列を複雑にしたりするなど、ID・パスワードを変更しても効果がないということになりますね。

西尾先生●その通りです。先ほどセキュリティ環境が強固な大企業を直接狙うよりも、中小企業を狙った方がコストパフォーマンスが高いという話をしましたが、例えば大企業を攻撃する予算があれば、中小企業を1,000社くらい攻撃できます。

　現在は多くの中小企業がサプライチェーンで大企業のシステムとつながっていますから、中小企業を入口にして大企業に攻撃を仕掛ける方が容易と考えられているのでしょう。

　また今は攻撃者の目的は純然たる金儲けです。攻撃者は効率良く稼ぐことを重視しますから、大企業を直接攻略して手腕を誇るよりも、セキュリティ対策が手薄なケースが多い中小企業を積極的に狙うというわけです。

MOEKO●これからはInfoStealerに感染して認証情報が窃取される可能性が高いという前提でのセキュリティ対策が必要になるということですね。ということは従来のID・パスワードでの認証はもう使えませんね。

西尾先生●ID・パスワードは認証の第一世代なんです。古い仕組みですし、InfoStealerによるリスクも高いのですぐにやめるべきです。ID・パスワードの次に第二世代として多要素認証（MFA：Multi-Factor Authentication）があります。

　MFAでは端末にID・パスワードやPINコードと、メールやスマートフォンのSMSで届く認証コードを入力し、さらに指紋や顔などの生体認証などを組み合わせて認証する仕組みですが、メールやSMSに届く認証コードが横取りされやすいというリスクがあります。そもそも端末から盗むことができる情報を扱うこと自体がリスクなんです。

　今後は第三世代となるパスキーと生体認証を組み合わせた認証に移行すべきです。Windows Helloなどの生体認証はユーザー本人にしか情報がありませんし、パスキーは生体認証をパスしなければ利用できません。

　パスキーでは端末が公開鍵と秘密鍵のペアを自動生成し、秘密鍵は端末に、公開鍵はクラウドなどのサーバーに保管されます。サインインする際は顔認証や指紋認証により端末にある秘密鍵のロックが解除され、公開鍵が保管されているサーバーと通信することで認証が完了します。万が一端末の秘密鍵が盗まれても、ユーザー本人が生体認証のロックを解除しなければサインインできない仕組みです。

仲西さん●Windows 11搭載PCにはセキュリティチップであるTPM（Trusted Platform Module）や顔認証カメラおよび指紋認証センサーが搭載されており、Windows Helloを活用した第三世代認証であるパスキー＋生体認証が利用できる環境が標準で用意されています。さらにCopilot+ PCなどの最新のWindows 11搭載PCでは、「鍵」となる生体認証情報を物理的に保護するセキュリティチップ、「Microsoft Pluton」が搭載されており、バスアタックと呼ばれる物理的なハッキングに対しても、パスキーの安全性を飛躍的に向上させます。

MOEKO●つまり最新のWindows 11搭載PCを導入するだけで第三世代認証によるセキュリティの強化が図れ、InfoStealerの脅威も排除できるということですね。

仲西さん●これからのAI活用とセキュリティ強化を両立できるCopilot+ PCの導入がベストです。

MOEKO●すぐに実践できるセキュリティ対策、とても勉強になりました。ありがとうございました。