ハッカーが現在も狙う認証情報、データ侵害の28％で盗まれていた
攻撃者にとって、認証情報は現在も主要な攻撃経路の1つである。米通信大手ベライゾンのレポート「2026年度データ漏洩/侵害調査報告書（DBIR）」によれば、データ侵害の28％に認証情報が関わっていた。ハッカーは、パスワードダンパー（パスワード抽出ツール）と呼ばれるツールを使って、侵入したシステムから認証情報を探し出し、抜き取っている。
advertisement
パスワードが残る理由は安全性ではなく、互換性と企業環境への深い組み込み
米調査会社フォレスターのプリンシパルアナリスト、ジェフ・ケアンズは、メールでの取材にこう答えた。「パスワードがなくならないのは、幅広いシステムで使えて、企業の環境に深く組み込まれ、多くの場合、従業員が入社するときの手続きにも最初から入っているからです。最も安全な選択肢だからではありません」。
本人確認をログイン時だけで終わらせず、暗号による検証・利用者の行動・リスク分析で確かめ続ける
「AIによって、フィッシング攻撃はより本物らしくなり、人間には見抜きにくくなっています。だからこそ認証は、パスワードのように、利用者とサービスが同じ秘密の情報を共有して照合する方式から離れつつあるのです。パスキーをはじめとするフィッシング耐性のある方式の利点は、暗号の仕組みを使って本人を確かめる点にあります。パスワードのような秘密の情報を相手に渡さなくても、暗号による証明を示すだけで、システムは相手が本人だと確かめられるのです」。
ケアンズはより広い視点から、認証は進化しなければならないと主張する。ログインの時点で1度だけ行う手続きから、途切れずに続くプロセスへの進化であり、そのプロセスでは、暗号による検証、利用者の行動から読み取れる兆候、リスクの分析という3つを組み合わせるという。この転換を進める上で、組織は、パスワードをはじめとする従来の方式を好む、文化や運用の面での惰性を乗り越えなければならないとケアンズは言う。
advertisement
