安全上の懸念があるにもかかわらず、現在もパスワードを使い続けているセキュリティの専門家は多い。米国時間10月7日、認証用セキュリティキー「YubiKey」を手がけるYubico（ユビコ）と、ID管理サービスを提供するOkta（オクタ）は、報告書「グローバル認証状況調査2026」を公表した。
80％超の専門家がパスキーを認知、しかし半数近くはパスワードに依存
世界各地の企業でセキュリティやITに携わる1800人超の専門家を対象にした調査で、パスワードの代わりに端末に保存した暗号の鍵でログインする「パスキー」を8割超が知っている一方、半数近くが現在も仕事用のアカウントに、ユーザー名とパスワードでログインしていることがわかった。
パスワードに頼っているせいで、防御する側はフィッシング（本物を装ったメールやサイトで、パスワードなどの情報をだまし取る手口）につけ込まれやすくなっている。たとえば調査では、回答者の70％が、過去1年で自分の組織を狙ったフィッシングが増えたと答え、55％は、個人に狙いを定めて作り込まれた攻撃を直接受けていた。
誤字や不自然な言い回しという手がかりは通用せず、39％の専門家はAIで作られたフィッシングを見抜けなかった
企業のあらゆる場面で、AIツールによって、攻撃者はより本物らしい詐欺を作りやすくなっている。一方で従業員は、誤字や不自然な言い回しといった「従来の手がかり」から、フィッシングを見抜きにくくなっている。YubicoとOktaの調査では、回答者の44％が過去12カ月にAIを使った攻撃を受けており、セキュリティの専門家の39％は、AIが生成した文章と人間が書いた文章を見分けられなかった。
セキュリティの専門家がフィッシングを見抜くのに苦労しているという事実は、AIの時代に、ソーシャル・エンジニアリング（人の心理的な隙や油断につけ込んで、情報を盗み出す手口）による侵害を防ぐことがいかに難しいかを浮き彫りにしている。ChatGPTやGeminiのような生成AIツールを誰もが使える現在、攻撃者はかつてないほど簡単にフィッシングメールを作れる。そうしたメールをソーシャル・エンジニアリングの詐欺に組み込めば、従業員をだまして、機密情報や認証情報を差し出させることができる。
