2要素認証の突破はもはや当たり前 “ここまでやるか”と思わせる攻撃者の最新手口
ITmedia エンタープライズ / 2024年9月3日 7時15分
冒頭の話に戻ると、問題は被害に遭われた方の勇気ある報告に対して「2要素認証が突破されたではなく、自ら偽のサイトにワンタイムパスワードを入力したからでは?」という反応が多かったことです。
そのこと自体は事実ではありますが、フィッシング詐欺に対して「見抜けなかった」ことを責めるのはよくありません。攻撃者=詐欺師は、人の脆弱(ぜいじゃく)性を突く行動を取っており、簡単には見抜けない手法を使って被害者をだまします。偽のWebサイトに情報を入力させたことは、2要素認証にとっては“突破”と考えてよいでしょう。
フィッシングに対抗して2要素認証が生まれ、それなりに浸透もしました。しかし攻撃者はそれを上回る手法を考え出し、新たな被害をもたらしています。終わりのない“いたちごっこ”ではありますが、私たちはさらなる対抗手段を講じる時期が来ています。
●終わらない“いたちごっこ”と現時点で有効な2つの対抗手段
その対抗手段として、すぐに活用できるのは「パスワード管理ソフト」です。Webブラウザにも内蔵されるようになった機能で、間もなくリリースされる「iPhone」の「iOS 18」および「macOS Sequoia」では、独立したパスワード管理ツールがOS標準で実装される予定です。
パスワード管理ツールは、IDとパスワードを入力すべきドメイン名とセットで記録しています。加えて、ワンタイムパスワードの情報も登録できるため、ワンタイムパスワードを入力すべきドメイン名もリンクされ、偽のログインページでは自動入力されないことで、本物かどうかを機械的に判定できます。
つまり新たな攻撃があることから、私たちは対抗手段として「ワンタイムパスワードを手入力しない」という方法が採れるはずです。そのためには、パスワード管理ソフトをまず試してみることからスタートしましょう。
Webブラウザの付属している機能でも、上記OSで実装される機能でも構いません。筆者は独立した、サードパーティーの「1password」を活用していますが、これもアプリ選定が非常に難しく、パスワードマネジャーという名前を付けた偽アプリの可能性すらあります。
無料だからといって見知らぬアプリを利用しないようにしましょう――というのが一番難しく、OS標準で実装されることは、個人的はありがたいと思っています(もちろん、最も狙われる部分になるので脆弱性情報には注意しなくてはなりませんが)。
この記事に関連するニュース
-
カスペルスキー、オンラインの詐欺攻撃キャンペーン「Tusk」を発見
週刊BCN+ / 2024年8月23日 16時34分
-
スマートフォン時代、クラウド時代? いやいや今は“アカウント時代”だ
ITmedia エンタープライズ / 2024年8月13日 7時15分
-
東奔西走キャッシュレス 第59回 クレジットカードの不正利用、フィッシング対策の強化を
マイナビニュース / 2024年8月9日 17時57分
-
インターネットバンキングは危険?本当に安全なのか銀行の人に聞いてみた
ハルメク365 / 2024年8月9日 17時0分
-
生成AIやLLMにより高度化するフィッシング、どう対抗するか 第2回 LLMを悪用したフィッシングメールの実例と被害
マイナビニュース / 2024年8月6日 10時46分
ランキング
-
1Xでイラッとした投稿を友人に転送すると、似たような投稿が集まるので注意──マスク氏
ASCII.jp / 2024年9月3日 11時0分
-
2「motorola edge 50s pro」徹底レビュー:19分フル充電やカメラの実力はどう? 予想以上に便利だったPC連携も
ITmedia Mobile / 2024年9月3日 6時5分
-
3“ブラックLINE”爆誕――LINE、アプリアイコンが変更できるように
ITmedia NEWS / 2024年9月3日 11時36分
-
4覚えておくとApple Watchがちょっと快適になる小ワザ3選|Apple Watch Hacks
&GP / 2024年9月1日 19時0分
-
52要素認証の突破はもはや当たり前 “ここまでやるか”と思わせる攻撃者の最新手口
ITmedia エンタープライズ / 2024年9月3日 7時15分
複数ページをまたぐ記事です
記事の最終ページでミッション達成してください
![](/pc/img/mission/mission_close_icon.png)