最近、フィッシング攻撃による被害が急増していることをご存じでしょうか？従来のID・パスワード認証では、もはや二段階認証でさえ突破されてしまう時代になっています。そんな現状を一変させる可能性を秘めた「パスキー（FIDO認証）」という新しい認証技術について、現場で数多くのサイバー攻撃事件を調査してきた経験から、その威力と重要性をお伝えします。
現実に起きているフィッシング攻撃の恐ろしい実態
私がフォレンジック調査で実際に扱った事例をいくつかご紹介しましょう。
事例1：中小企業A社の場合
経理担当者が銀行を装ったフィッシングメールに騙され、偽サイトでログイン情報を入力。SMS認証までクリアされ、わずか10分で300万円が不正送金されました。リアルタイム型フィッシング攻撃の典型例です。
事例2：個人事業主B氏の場合
クレジットカード会社を装ったフィッシングサイトで情報を入力後、3時間で50万円の不正利用被害。二段階認証のワンタイムパスワードまで盗まれていました。
これらの被害に共通するのは、従来の認証方式の限界が露呈していることです。IPAの情報セキュリティ10大脅威でも、2019年以降毎年フィッシングによる個人情報搾取が上位にランクインしているのが現状です。
リアルタイム型フィッシング攻撃の脅威
従来のフィッシング攻撃は、盗んだID・パスワードを後で使うものでした。しかし現在主流の「リアルタイム型フィッシング攻撃」は違います。
攻撃の流れは以下の通りです：
- 被害者がフィッシングサイトでログイン情報を入力
- 攻撃者がリアルタイムでその情報を取得
- 攻撃者が即座に正規サイトにログイン
- SMS認証コードも被害者から盗み取り、即座に入力
- わずか数分で不正ログイン完了
つまり、二段階認証でも防げない攻撃手法なのです。調査現場では「認証コードを入力したのに何度もエラーになる」という被害者の証言をよく聞きます。これは攻撃者が先にコードを使ってしまうためです。
パスキー（FIDO認証）とは何か？
そこで注目されているのが「パスキー」を使ったFIDO認証です。これは従来の認証方式とは根本的に異なる仕組みを採用しています。
パスキーの仕組み
登録フェーズ：
- サービスがパスキー登録をリクエスト
- 利用者端末で生体認証（顔認証、指紋認証など）を実施
- 端末内で公開鍵・秘密鍵ペアを生成
- 公開鍵のみをサーバーに送信、秘密鍵は端末内に保管
認証フェーズ：
- サーバーが認証リクエストを送信
- 利用者が端末で生体認証を実施
- 端末が秘密鍵で署名したデータを送信
- サーバーが公開鍵で署名を検証
パスキーがフィッシング攻撃に無敵な理由
フォレンジック調査の観点から、パスキーがなぜフィッシング攻撃に対して圧倒的に強いのかを説明します。
1. 秘密鍵が端末から出ない
従来の調査では、盗まれた認証情報がログファイルに残っているケースが多々ありました。しかしパスキーでは、秘密鍵は絶対に端末外に送信されません。フィッシングサイトが入手できるのは公開鍵のみで、これだけでは不正ログインは不可能です。
2. ドメイン縛りの仕組み
パスキーは特定のドメインに紐づいて生成されます。フィッシングサイト（偽ドメイン）では、正規サイト用のパスキーは動作しません。この仕組みにより、利用者が偽サイトに騙されても、そもそも認証処理が開始されないのです。
3. リアルタイム攻撃も無効
リアルタイム型攻撃でも、パスキーの署名データは一回限り有効です。攻撃者が盗んだ署名データを使おうとしても、既に使用済みのため無効になります。
実際の導入効果と利便性
調査で関わったある企業では、パスキー導入後にフィッシング関連のインシデントが完全に0件になりました。従業員からは「ログインが楽になった」という声も多く聞かれています。
利便性のメリット：
- パスワード入力不要
- スマートフォンの生体認証だけでログイン
- 複数端末での同期対応
- 機種変更時の引き継ぎも簡単
導入時の注意点
ただし、導入には以下の点に注意が必要です：
1. 利用者教育の重要性
新しい技術のため、利用者への説明とサポートが必要です。特に年配の方には丁寧な説明が求められます。
2. クラウドアカウントの保護
同期パスキーを利用する場合、Apple IDやGoogleアカウントの保護が重要になります。これらのアカウントが侵害されると、パスキーも危険にさらされます。
個人・中小企業での実践的な対策
パスキー対応サービスがまだ限られている現在、以下の対策も併用することをお勧めします：
1. 総合的なセキュリティ対策
フィッシングサイトへのアクセス自体を防ぐため、信頼性の高いアンチウイルスソフト
の導入が効果的です。リアルタイムでの脅威検知機能により、フィッシングサイトへのアクセスをブロックできます。
2. 通信の暗号化
公共Wi-Fiなどの不安全なネットワークでは、VPN
を使用して通信を暗号化しましょう。中間者攻撃によるフィッシング攻撃のリスクを大幅に軽減できます。
今後の展望
現在、Google、Apple、Microsoftなどの大手企業がパスキー対応を進めています。今後2-3年で、多くのオンラインサービスがパスキーに対応することが予想されます。
フォレンジック調査の現場から見ても、パスキーは従来の認証方式の問題点を根本的に解決する技術です。特にフィッシング攻撃に対する耐性は、他の技術では実現困難なレベルの強固さを誇ります。
まとめ
パスキー（FIDO認証）は、フィッシング攻撃の脅威から個人や企業を守る革新的な技術です。従来の認証方式では防げないリアルタイム型フィッシング攻撃に対しても、確実な防御力を発揮します。
完全普及までは時間がかかりますが、対応サービスから順次パスキーを有効化し、併せて包括的なセキュリティ対策を講じることで、サイバー攻撃のリスクを大幅に軽減できるでしょう。
デジタル社会の安全性向上のためにも、パスキーという新しい認証技術に注目し、積極的な導入を検討してみてください。
一次情報または関連リンク
NTT DATA – パスキーによるログイン機能について
IPA情報処理推進機構 – 情報セキュリティ10大脅威
金融庁 – インターネットバンキング利用時のご注意
FIDO Alliance – Overview
