「2要素認証を入れても突破されることがある」という話を聞いて、導入をためらう担当者の方は少なくありません。この指摘には正しい面があります。認証を強化しても、あらゆる侵入を防げるわけではないからです。ただし、そこから「だから2要素認証は意味がない」という結論には至りません。大切なのは、どの経路に効いて、どの経路には効かないのかを正確に把握し、効かない部分を別の対策で埋めることです。この記事では、回避されうる経路の類型と、それでも認証を強化する意味を整理します。
「突破される」という話の受け止め方
2要素認証が回避された事例が語られるとき、その多くは「認証の仕組み自体が破られた」という話ではありません。利用者の判断を利用したり、認証を通した後の状態を狙ったり、そもそも認証を求めていない別の入口を使ったりといった、認証の周辺にある隙を突いたものです。つまり、認証を入れたことが無駄になったのではなく、認証だけでは守り切れない領域が残っていた、という話です。
この区別を曖昧にしたまま「意味がない」と判断してしまうと、盗まれたパスワードだけで侵入できる状態が放置されます。これは対策の優先順位としては明らかに逆です。用語そのものの整理は2段階認証と2要素認証の違いで扱っていますので、あわせて参照してください。
回避されうる経路の4つの類型
防御側として押さえておきたいのは、個別の手口の詳細ではなく「どういう類型があるか」という見取り図です。大きく4つに分けられます。
1. 利用者本人に認証させてしまう類型
攻撃者が正規のログイン画面に見える入口を用意し、利用者自身に認証を通させてしまうものです。認証の仕組みは正常に動いていますが、利用者が「本物だと思って」応じてしまうため成立します。承認を求める通知が繰り返し届き、利用者が煩わしさから応じてしまうケースもここに含まれます。仕組みの前提を理解しておくことは多要素認証の基本の内容と直結します。
2. 認証を経た後の状態を狙う類型
認証は正しく行われた後、その利用者としてサービスを使い続けられる状態そのものを狙うものです。端末が既にマルウェアに感染していれば、認証の強さとは無関係に、正規の利用者としての操作が悪用されえます。端末側の防御と認証の守備範囲の違いはUTM・エンドポイント対策と認証強化の違いで整理しています。
3. 認証を要求しない別の入口が残っている類型
主要な業務システムには2要素認証を入れたが、社内サーバーへのログインやリモートアクセスの一部がパスワードのみで残っている、というパターンです。攻撃者から見れば、強い扉を叩く必要はなく、鍵のかかっていない扉を探すだけで済みます。
4. 復旧・例外手続きの隙を突く類型
認証用の端末を紛失した、コードが受け取れないといった場面のための復旧手続きが、本人確認の甘い運用になっていると、そこが実質的な迂回路になります。管理者が一時的に認証を解除する運用も、記録と承認がなければ同じ性質を持ちます。
方式によって耐性は変わる
「2要素認証」とひとくちに言っても、要素の組み合わせ方によって、上記の類型に対する耐性は変わります。パスワードに加えて別の知識(記憶している情報)を求める方式は、要素が増えてはいても、どちらも本人から聞き出せる性質のものです。一方、手元にある物理的なデバイスの所持を求める方式は、遠隔から本人に代わって成立させることが構造的に難しくなります。
つまり、類型1のような「本人に認証させてしまう」経路に対しては、所持を要求する方式のほうが有利です。物理デバイスを用いる方式の考え方はハードウェアセキュリティキーの解説でまとめています。方式選定は、コストや運用負荷とあわせて検討する論点です。
実務でいちばん多いのは「認証を要求しない入口」
4つの類型のうち、現場で最も頻繁に問題になるのは、洗練された手口ではなく類型3です。クラウドサービス側は認証を強化したものの、社内のファイルサーバーやPCへのログイン、外部からのリモートアクセスがパスワードのみのまま残っている、という状態がよく見られます。特定の利用者や役職だけを例外扱いにしている運用も、同じ抜け道になります。
社内側の入口をどう扱うかについてはWindows OSログインの2要素認証を、外部からの入口についてはVPN機器の脆弱性が狙われる理由を参照してください。認証を強化する前に、まず「どこに入口があるのか」を洗い出すことのほうが効果的な場合が多くあります。
類型ごとに、何をすれば塞がるのか
| 類型 | 有効な手当て | 費用の目安 |
|---|---|---|
| 本人に認証させる | 偽サイトでは成立しない方式（物理キー等）に切り替える／承認画面に接続元を表示する | 方式変更を伴うため中〜大 |
| 認証後の状態を狙う | ログイン状態の保持期間を短くする／重要操作の前に再認証を求める | 設定変更のみで済むことが多い |
| 別の入口が残る | 認証を求めない経路を洗い出して塞ぐ（ここが最も件数が多い） | 洗い出しの工数が中心 |
| 復旧・例外の隙 | リセット時の本人確認手順を決める／例外を恒常化させない | ルール整備のみ。費用はほぼ不要 |
この表で注目していただきたいのは、費用がかからない類型が2つあることです。「突破されうる」という話を受けて高価な製品の検討を始める前に、設定とルールで塞げる範囲を先に片付けるほうが、投じる労力に対する効果は大きくなります。パスワードリセット時のなりすまし対策は パスワードリセット依頼のなりすまし対策で個別に扱っています。
それでも2要素認証を導入する理由
回避されうる経路があるとしても、2要素認証には確実な効果があります。それは、盗まれたパスワードだけで入られる経路を塞ぐという点です。どこかで漏えいした認証情報がそのまま試される経路は、攻撃側にとって手間がかからず、だからこそ広く狙われます(パスワード漏えいが招く影響を参照)。
攻撃の大部分は、特定の企業を狙い抜くものではなく、手間のかからない相手を広く探すものです。パスワードだけで入れる状態を解消することは、その大部分を対象外にする効果があり、費用対効果の面でも合理的です。ランサムウェア対策としてどの侵入経路に効くのかという観点は多要素認証はランサムウェアに有効かで詳しく扱っています。
導入するときに合わせて決めておくこと
効かない領域を減らすには、認証を入れるだけでなく、運用面をあわせて設計する必要があります。最低限、次の点を決めておいてください。
- 例外を作らない範囲の設計 — 対象を「全利用者・全入口」と定め、例外を認める場合は期限と理由を記録する
- 復旧手続きの本人確認 — 認証用端末を失った際の再登録手順で、誰がどう本人確認を行うかを事前に決めておく
- 認証を経ない入口の棚卸し — 社内サーバー、PCログイン、リモートアクセス、保守用の接続まで含めて一覧化する
- 認証後の挙動に気づく仕組み — 普段と異なる時間帯や場所からの利用、想定外の操作に気づけるようログを確認する運用を持つ
- 利用者への周知 — 身に覚えのない承認要求が届いたときに、応じずに報告する窓口を明示する
いまの運用を棚卸ししてみる
認証を強化すべきか、その前に認証を経ない入口の棚卸しから始めるべきかは、現在の対応状況によって異なります。applippliの無料棚卸しでは、10問・約3分で、自社の認証やアクセス管理の対応状況を「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。