【ITニュース解説】From Fake Workers to Account Recovery: The Growing Identity Verification Risk

最近のサイバーセキュリティの脅威は、単にシステムのログイン情報を盗み出すだけではなく、より巧妙な手口へと進化している。特に注目すべきは、「本人確認」のプロセスを狙った攻撃が急増しているという点である。システムエンジニアを目指す皆さんにとって、この新たな脅威とその対策を理解することは、将来のシステム設計や運用において非常に重要になる。

まず、「本人確認」とは何かについて説明する。これは、ある人物が「主張する本人である」ということをシステムが確認する一連の仕組みを指す。例えば、オンラインサービスに登録する際、氏名やメールアドレス、電話番号を入力し、場合によっては身分証明書を提示したり、登録したメールアドレスに送られてくる認証コードを入力したりする。これが本人確認のプロセスである。システムへのログイン時に入力するIDとパスワードも、広い意味での本人確認の一部と言えるだろう。この本人確認が正確に行われることで、システムは正規のユーザーにのみアクセスを許可し、安全性を保っている。

これまでのサイバー攻撃の多くは、このIDとパスワードを直接狙い、フィッシング詐欺でだまし取ったり、システムに侵入してデータベースから盗んだりすることが主な手口だった。しかし、最近の攻撃者は、そうした直接的なログイン情報の窃取ではなく、その手前の「本人確認」や「アカウント回復」の仕組み自体を悪用することに力を入れている。つまり、正規のログイン情報がなくても、本人確認のプロセスを欺くことで、あたかも正規のユーザーであるかのようにシステムにアクセスしようとするのである。

このような新しい攻撃手法の典型例がいくつかある。一つは「偽の従業員（Fake Workers）」による侵入である。これは、攻撃者が巧妙に偽の身分をでっち上げ、企業の採用プロセスをすり抜けて正規の従業員として潜入しようとする手口だ。一度、偽の従業員として組織内に受け入れられてしまえば、正規のユーザーとして社内システムやデータにアクセスできるようになるため、通常のセキュリティ対策では検知が非常に困難になる。彼らは、採用時の本人確認が甘い企業や、急な人手不足で確認が疎かになりがちな企業を狙うことがある。

次に「ソーシャルエンジニアリング」の手法も、本人確認を突破するために多用されている。これは、技術的な脆弱性を突くのではなく、人間の心理的な隙や無知、善意を利用して、情報やアクセス権限を引き出す攻撃である。例えば、カスタマーサポートに電話をかけ、「パスワードを忘れた」と偽って巧みな話術で本人確認を突破し、アカウントのパスワードをリセットさせたり、登録情報を変更させたりするケースがある。また、企業の従業員になりすまし、社内の別の従業員から機密情報を聞き出そうとすることもある。人手不足の部署や、セキュリティ教育が不十分な従業員が狙われやすい。

さらに深刻なのは「アカウント回復（Account Recovery）」プロセスの悪用である。多くのオンラインサービスでは、パスワードを忘れたユーザーのために、登録済みのメールアドレスへのコード送信や、秘密の質問への回答などを用いて、アカウントを回復させる仕組みを用意している。このプロセスは、本来ユーザーの利便性を高めるためのものだが、攻撃者にとっては格好の標的となる。例えば、登録メールアドレスが漏洩している場合や、秘密の質問の答えが推測されやすい場合、攻撃者はこのプロセスを悪用して正規のユーザーのアカウントを乗っ取ることができるのだ。一度乗っ取られたアカウントは、情報窃盗、金銭的被害、さらには他のシステムへの踏み台として悪用される可能性もある。

これらの攻撃がなぜこれほど危険なのかというと、それは攻撃者が「正規のアクセス権」を手に入れてしまう点にある。通常のマルウェア感染や不正ログインは、システムが不審な動きを検知しやすいが、本人確認プロセスを突破して得たアクセスは、システムから見れば「正規のユーザーによる正当な操作」と認識されてしまうため、異常を検知するのが極めて難しいのである。これにより、攻撃者は長期間にわたってシステム内に潜伏し、貴重なデータを盗み出したり、システムを破壊したりする時間を十分に得ることができてしまう。企業にとっては、顧客情報の漏洩による信頼失墜や、巨額の損害賠償といった深刻な事態に発展するリスクがある。

こうした脅威に対抗するためには、企業はより強固な本人確認の仕組みを導入する必要がある。技術的な対策としては、まず「多要素認証（MFA）」の導入が不可欠である。これは、パスワードだけでなく、スマートフォンに届く認証コードや生体認証（指紋、顔認証など）を組み合わせて本人確認を行う方法で、たとえパスワードが漏れても、他の要素がなければログインできないため、セキュリティが格段に向上する。また、より高度な「生体認証」技術や「継続的な認証」の導入も有効だ。継続的な認証とは、一度ログインしたら終わりではなく、アクセスするシステムやデータの種類、ユーザーの行動パターンなどに応じて、必要に応じて再度の本人確認を求める仕組みである。

さらに、システムへのアクセス権限を適切に管理する「IDガバナンス」の強化も重要である。これは、誰がどのシステムに、いつ、どのような目的でアクセスできるのかを厳密に定義し、定期的に見直すことで、不必要なアクセス権を排除する取り組みだ。 技術的な対策だけでなく、非技術的な対策も同じくらい重要である。特に「従業員教育」は欠かせない。ソーシャルエンジニアリングの手口や、不審なメール、電話に対する注意喚起を徹底することで、従業員一人ひとりがセキュリティ意識を高め、攻撃の入り口を塞ぐことができる。また、本人確認やアカウント回復の「プロセスそのもの」を定期的に見直し、抜け穴がないか、より厳格にできないかを検討することも重要だ。

システムエンジニアを目指す皆さんにとって、このニュースは、セキュリティが単なる技術的な問題ではないことを示している。システムの入り口である「本人確認」には、技術的な側面だけでなく、人間が関わるプロセスや、人間の心理を考慮した設計が求められる。将来、システムを設計・開発する際には、どのようにすれば攻撃者が本人になりすますことを防げるか、アカウント回復プロセスが悪用されないか、といった視点を持つことが極めて重要となるだろう。常に最新の脅威と対策を学び続け、多角的な視点からセキュリティを考える習慣を身につけることが、これからのIT社会で求められるシステムエンジニアとしての基礎力となる。