MFAでは足りない？最新脅威に立ち向かうアイデンティティ基盤の発想転換

はじめに: いわゆる「MFA」では不十分？「正規ログイン」を狙う最新脅威

「主要なシステムにはすべてMFA（多要素認証）を導入したし、定期的なフィッシングメール訓練も実施している。セキュリティ対策としてはやれることはやっているから、ひとまず安心だ」

もし、あなたがそう考えているとしたら、そこには危険な落とし穴があるかもしれません。

近年、企業のサイバーセキュリティを取り巻く環境は激変しています。「信頼せず常に検証する」ゼロトラストの思想が普及し、システムへの侵入が容易ではなくなった昨今、攻撃者の戦術はターゲットのアイデンティティ（ID）を盗み、「侵入」ではなく「正規のユーザーとしてログイン」する、という方向にシフトしています。

さらに深刻なのは、MFAの適用や社員のセキュリティ意識向上に頼った従来の防御策が、最新の攻撃手法の前に無力化され始めているという現実です。本記事では、最新の脅威動向を紹介するとともに、これからの時代に企業が備えるべき多層防御のアプローチについて解説します。

一般的なMFAの形骸化とユーザーを狙う最新の攻撃手法

パスワードだけの時代に比べれば、多要素認証（MFA）によりセキュリティ強度が飛躍的に向上したのは間違いありません。しかし攻撃者もまた、その防御を「迂回」する巧妙な手口を確立してきています。ここからは近年の代表的な3つの攻撃動向と、従来のMFAだけではそれらに対抗できない理由について、詳しく見ていきましょう。

①   人間の心理的な隙を突く「MFA疲労攻撃(MFA Fatigue / MFA Bombing)」

一つ目は、スマートフォンの認証アプリに届くプッシュ通知を悪用した「MFA疲労攻撃」と呼ばれる手法です。 攻撃者はあらかじめ何らかの方法でIDとパスワードを入手し、深夜や早朝などターゲットが油断している時間帯に執拗にログインを試みます。ユーザーのスマートフォンには、立て続けに数十〜数百回も「ログインを承認しますか？」というプッシュ通知が届き続けることになります。 ユーザーは、鳴り止まない通知に対する焦りや睡眠を邪魔された苛立ち等により、「とりあえず承認ボタンを押して通知を止めよう」という心理に陥ってしまいがちです。技術的にはMFAは正常に作動しているにもかかわらず、最終的にユーザーを疲弊させることによって生まれる「人間の心理的な隙」によって防衛ラインが突破されてしまうのです。

②   生成AIによる「ディープフェイク・ソーシャルエンジニアリング」

二つ目は、生成AI技術の悪用です。これまで多くの企業では、不審なメールを見抜くための「フィッシング訓練」を実施してきました。しかし生成AIの利用により、今までのような「不自然な日本語」「文脈がおかしい」といった、一目で見抜けるようなメールは減少しています。さらに、 攻撃者はAIによるディープフェイク音声を用いて、社内の人間の「声」を精巧に偽装します。信頼している同僚や上司からの「リアルな電話」だと信じ込んでしまった社員は、画面に表示されたワンタイムパスワードを自ら攻撃者に伝えてしまいます。人間の判断力のみに頼る防御モデルは、昨今のAIの進化によって限界を迎えつつあると言えるでしょう。

③   MFAを無力化する「中間者（AiTM）フィッシング」

さらに深刻なのが、ユーザー自身はMFAを正しく実行しているつもりなのに攻撃を防げない、「AiTM（Adversary-in-the-Middle：中間者）フィッシング」です。

攻撃者は、本物のログイン画面とまったく同じに見える偽のログインページを用意します。ユーザーがそこにID/パスワード、そしてSMSや認証アプリのワンタイムパスワード（OTP）を入力すると、裏側に潜む攻撃者のサーバが、それらの情報をリアルタイムで本物の認証基盤へと転送します。本物の認証基盤は「正規のユーザーが正しくMFAをクリアした」と判断し、認証成功の証である「セッションCookie（トークン）」を発行します。攻撃者はこのMFAクリア直後のセッションCookieを通信の途中で横取りすることで、それ以降の認証プロセスをすべて迂回し、ユーザーのブラウザセッションを完全に乗っ取ってしまいます。どれほど厳格にMFAを運用していても、その防御効果が一瞬で「無力化」されてしまうのが、この攻撃の恐ろしさです。

これら3つの攻撃事例が示しているのは、「どれだけ社員にセキュリティ教育を施しても、破られるときは破られてしまう」という現実です。これからのアイデンティティセキュリティに求められるのは「社員が騙されないように鍛える」ことではなく、「万が一人間が騙されて情報を渡してしまっても、システム側で確実に踏み止まる構造」をいかにして実現するか、という設計思想の転換なのです。

人間の判断に頼らない防御：フィッシング耐性MFAとは

そういった攻撃への対策のひとつが、昨今、次世代の認証セキュリティの世界的基準として導入が進む「フィッシング耐性のある多要素認証（Phishing-Resistant MFA）」の実装です。従来のように「ユーザーが注意深く確認する」ことに依存せず、「システム的にフィッシングが不可能な構造」を作る、その仕組みとメリットについて解説します。

①   なぜ「フィッシング耐性MFA」は破られないのか

フィッシング耐性MFAの代表例として挙げられるのが、FIDO2規格に準拠した「パスキー（Passkeys）」や、端末固有の「デバイス証明書」を用いた認証です。 これらが従来のワンタイムパスワードやプッシュ通知と根本的に異なるのは、認証のプロセスに「ドメインバインディング（ドメイン結合）」という暗号学的な仕組みが組み込まれている点です。

従来の認証では、ユーザーが本物のサイト（例：company.com）と、攻撃者が用意した巧妙な偽サイト（例：c0mpany.com）を見分けられず、偽サイトに情報を入力してしまうことで乗っ取りが成立していました。しかし、FIDO2/パスキーにおいては、認証時にアクセスしているWebサイトの「本物のURL（ドメイン名）」が厳密に検証されます。 ユーザーが精巧な偽サイトに騙されてログインボタンを押したとしても、システム側は「このサイトは登録された本物のドメインではない」と判断し、認証情報の送信を拒否します。つまり、人間は騙されてもシステムは騙されない、という構造を実現できるのです。

②   パスワードそのものを「無くす」という選択

フィッシング耐性MFAへの移行は、必然的に「パスワードレス」への移行を意味します。 従来のパスワード運用は、その漏洩リスクだけでなく、定期変更の強制によるユーザーの利便性低下や、パスワード忘れによるITヘルプデスクへ多数の問合せが生じるなど、運用課題の要因にもなっていました。

パスキーを中心としたパスワードレス環境へ移行することで、ユーザーはPCの顔認証や指紋認証、あるいはスマートフォンのタッチだけで、様々な社内システムやSaaSへ安全に「正規ログイン」できるようになります。 「セキュリティを厳しくすると利便性が下がる」というこれまでのジレンマを解決し、セキュリティ強度とユーザー体験の両方を高めることができるのが、パスワードレス認証の大きな価値といえます。

③   移行に向けた現実的なアプローチ

とはいえ、すべての社内システムやSaaSを個別にFIDO2/パスキー対応させるのは、レガシー環境の制約もあり現実的ではありません。そこで重要になるのが、アイデンティティ基盤（IDaaS）への「認証の集約」です。 各システムをIDaaSとシングルサインオン（SSO）連携させれば、個々のシステムがFIDO2に未対応であっても、IDaaS側で一括してフィッシング耐性MFAを強制することが可能になります。

個々のシステムの機能制限に縛られず、中央のIDaaSで認証を一手にコントロールしながら、段階的に「人間の判断に頼らない防衛ライン」を築いていく、というのが現実的なアプローチです。

フィッシング耐性MFAの死角：セッションハイジャック

それでは、ここまでで解説した「フィッシング耐性MFA」を導入すれば安全なのでしょうか？残念ながら、そうとは言えません。攻撃者は認証という「入口」が突破できないと悟ると、瞬時に次の死角へと狙いを定めます。それが認証成功した「後」を狙った攻撃、すなわち「セッションCookieの強奪（セッションハイジャック）」です。

どれだけパスキーという強固な認証で入口の防御を固められていても防衛ラインを突破されてしまう最新の脅威シナリオと、その盲点について解説します。

①   猛威を振るう「インフォスティーラー（情報窃取マルウェア）」

近年、企業のセキュリティにおいて急速に脅威度を増しているのが、「インフォスティーラー」と呼ばれるマルウェアです。これはPCのバックグラウンドに潜み内部の機密データを盗み出すことに特化したマルウェアで、ひとたびPCが感染すると、ブラウザに保存されているデータが丸ごと外部の攻撃者の指令サーバへと送信されます。インフォスティーラーはID/パスワードや各種認証情報を網羅的に窃取しますが、MFAで守られた環境においてとりわけ深刻な脅威となるのが、ブラウザが記憶している「セッションCookie」の窃取です。

②   認証を「素通り」されるセッションハイジャックのメカニズム

セッションCookieとは、WebシステムやSaaSへのログイン成功時に、認証基盤からユーザーのブラウザに対して発行される、「認証済みの状態を証明する一時的なデジタル通行手形（セッション資格情報）」です。

攻撃者は、インフォスティーラーを使ってこの「認証成功済みのセッションCookie」を丸ごと盗み出します。盗まれたCookie情報はダークウェブ等で取引され、攻撃者は入手したCookie情報を自分自身のPCのブラウザにインポート（流し込み）し、対象のSaaSへアクセスを試みます。システム側は「本物のユーザーがアクセスしてきた」と判断するため、パスキー等による認証を再要求することなく、攻撃者を正規のユーザーとしてシステム内に迎え入れてしまいます。 どれほど強固なフィッシング耐性MFAを導入していても、認証というプロセスそのものが完全に「素通り（バイパス）」されてしまうのです。

③   「ログインの瞬間」しか見ていないという盲点

ログイン時のセキュリティ対策をいかに強固にしていても、端末のマルウェア感染やブラウザの脆弱性を突かれたセッションハイジャックが発生した瞬間、何の意味もなさなくなります。本当に守らなくてはならないのは「ログインの瞬間」だけではなく、「ログインによって確立されたセッション（通信状態）の健全性」です。

この「認証後」という領域をどう守るか、というのが現在のアイデンティティセキュリティにおいて、私たちが直面している最も本質的な課題なのです。

認証後のセキュリティ：文脈評価とITDRによる常時ベリフィケーション

認証後のセッションを守るためには、ログイン時の「一回限りの審査」に依存せず、認証が成功した後もユーザーの挙動を監視・評価し続ける「継続的な検証（常時ベリフィケーション）」の実装が必要です。これを実現するアイデンティティセキュリティの枠組みが、ITDR（Identity Threat Detection and Response：アイデンティティの検知と対応）です。

①   セッションハイジャックを見抜く「文脈（コンテキスト）」の動的評価

盗まれたセッションCookieを悪用する攻撃者は、当然ながら本物のユーザーとは異なる環境からアクセスしてくるため、ITDRはアクセスの「文脈（コンテキスト）」を評価することで異常をリアルタイムに検知できます。

たとえば、一般社員が東京のオフィスからPCで社内SaaSにログインし業務を行っていたのに、そのわずか10分後に同じユーザーのセッションCookieを使って、海外のIPアドレスから同じSaaSへのアクセスがあったとします。Cookie自体は有効であっても、コンテキストを動的に評価するITDRであればこれを即座に「異常」と判定できます。

②   いかに攻撃者のアクセス遮断までの時間（MTTR）を極小化するか

セッションハイジャックによる被害を最小限に抑えるためには、異常を検知してから攻撃者のアクセスを完全に遮断するまでの時間（MTTR：平均復旧時間）を極限まで短縮しなければなりません。これを実現するために中心的な役割を果たすのが、あらゆるセキュリティシグナルと連携する統合アイデンティティ基盤です。

検知から遮断までのイメージの一例は以下となります。

1. 異常シグナルの即時受信：エンドポイント（EDR）が端末のマルウェア感染を検知した瞬間に、その異常シグナルが中央の統合アイデンティティ基盤へとリアルタイムに送信されます。

2. リスクレベルの動的引き上げ：シグナルを受け取った統合アイデンティティ基盤のポリシーエンジンは、該当ユーザーのリスクレベルを即座に「高」へ自動で引き上げます。

3. キルスイッチ（全セッションの一斉強制終了）の執行： リスクが「高」となったアカウントに対して、統合アイデンティティ基盤は、連携する全アプリ向けに「全セッションの一斉強制終了」の指示を瞬時に出します。これにより、攻撃者が持っていた盗難Cookieは一瞬で無効化され、攻撃者はデータにアクセスできなくなります。

どれほど強固な認証をすり抜けられても、この「検知」と「遮断」のフローが人手を介さず自動実行できるようになっていれば、被害の拡大を未然に防ぐことが可能になります。

まとめ：「キルスイッチ」としてのアイデンティティ基盤の役割

本記事では、2026年現在のアイデンティティをめぐる最新脅威と、それらに対する対抗手段について解説してきました。

多くの企業が陥りがちなのが、IDaaSなどのアイデンティティ基盤を、単に「ユーザーを便利に、安全にシステムへログインさせるためのツール」＝「認証システム」と捉えてしまうという点です。しかし、セッションCookieの強奪によって認証が素通りされてしまうリスクが顕在化してきている今、防御の成否は「侵入を100%防ぐこと」ではなく、万が一侵入されてしまった時にいかに早くその影響を極小化できるか、という「サイバーレジリエンス」の観点にかかっています。そのため、アイデンティティ基盤には「異常を検知した際、いかに全システムから一瞬で攻撃者を『締め出す（遮断する）』か」という、セキュリティの「キルスイッチ」としての役割も要求されるようになってきています。

さらに2026年から2027年にかけて、アイデンティティセキュリティが守るべき対象は人間だけではなく、AIエージェントやNon-Human Identity（NHI：非人間アイデンティティ）へと急速に拡大していくことが予想されています。これからのアイデンティティ基盤には、単なる認証強化に留まらず、これらNHIまでをも含めた包括的な「権限管理」や「脅威検知」の統合が不可欠です。

人間だけでなくAIエージェントも含めたすべてのアイデンティティを中央で統合・統制し、有事の即時遮断を可能にするアイデンティティ基盤。それこそが、これからの時代に企業が持続可能なゼロトラストとサイバーレジリエンスを実現するために求められています。