ボヤン・シミックは、パスワードレスMFAとアイデンティティ保証ソリューションを提供するHYPRの共同創業者兼CEOです。
現代企業の構造において、ITヘルプデスクは長らく重要なサポート機能として認識されてきました。パスワードの忘れからシステムエラーまで、技術的な問題を抱える従業員の主要な窓口です。しかし、私たちが見落としがちだったのは、このヘルプデスクが高度なサイバー脅威の重要なアクセスポイントとなり、組織の主要な脆弱性になっているという事実です。
今日、認証情報をリセットしアクセスを許可する強力な「マスターキー」を持つヘルプデスクは、新たなタイプのソーシャルエンジニアリング攻撃の標的となっています。これはもはやスペルミスのあるフィッシングメールではなく、非常に説得力があり、しばしばAIを活用し、私たちの最も基本的で人間的な本能—助けたいという欲求—を悪用するよう設計されています。
これらの攻撃は人間の心理を悪用しています。
人間的要素：不可能な立場
何十年もの間、私たちは誤った前提で運用してきました。ファイアウォールやエンドポイントセキュリティに何百万ドルも投資する一方で、玄関口は単一の脆弱なパスワードで守られているだけでした。助けになりたいという単純で人間的な欲求の上に成り立っているITヘルプデスクのスタッフは、このパラドックスの不運な犠牲者です。
彼らはユーザーの最前線であり、攻撃者は今、彼らの役割を定義する共感と緊急性そのものを武器にしています。ヘルプデスク担当者が「C級幹部」からパスワードリセットの電話を受けた場合—生成AIやディープフェイクで声をクローンすることで非常に説得力のあるシナリオとなっています—助けたいという自然な本能が強力な脆弱性となります。彼らは不可能な立場に置かれます：電話の相手を助けて侵害のリスクを冒すか、プロトコルに従って従業員を疎外するリスクを冒すか。
これは個人の失敗ではなく、システムの根本的な失敗です。私たちが彼らに与えたツール—旧姓や子供の頃のペットについての質問—は現代の脅威に対して不十分な防御です。これらは時代遅れの認証方法であり、オンラインで入手可能な膨大な個人情報によって容易に侵害されます。本当のリスクはパスワードの盗難だけでなく、アイデンティティの盗難です。ますます明らかになっているように、単一の従業員のアイデンティティを侵害することは、より大規模な攻撃への重要な入り口となり、知的財産の窃盗、金融詐欺、ビジネスの混乱につながることがよくあります。
パスワードを超えて：アイデンティティ・ルネサンスの必要性
パスワードと従来の多要素認証（MFA）を中心とした古い認証モデルはもはや有効ではありません。今日の高度なソーシャルエンジニアリング攻撃は、ユーザーに認証情報を共有させるだけでなく、SIMスワッピングやプッシュ通知の連続送信を通じてSMSコードなどの一部のMFAも侵害しています。私たちは「アイデンティティ・ルネサンス」の真っただ中にあり、デジタルアイデンティティをセキュア化し検証する方法に根本的な変化が起きています。
このルネサンスの鍵は、共有秘密を完全に超えることです。私たちの焦点は、ユーザーが知っているもの（パスワードなど）ではなく、ユーザーが持っているもの（デバイスなど）に結びついたフィッシング耐性のある認証方法に移行する必要があります。これが現代のアイデンティティ保証プラットフォームの力です—FIDOのようなオープン標準と新興のパスキー技術を活用して、真にフィッシング耐性のある認証体験を作り出すものです。パスキーはユーザーの物理デバイスと検証済みドメインに暗号的にリンクされています。フィッシングされたり共有されたりすることはなく、何十年もヘルプデスクを悩ませてきた攻撃カテゴリー全体を排除します。人的脆弱性を排除することで、セキュリティチームの取り組みをより戦略的でプロアクティブな領域に向けることができます。
ITヘルプデスクの新しい設計図
パスキーへの移行は最初のステップに過ぎません。ヘルプデスク自体がアカウント回復とアイデンティティ検証を管理するための新しい設計図を必要としています。この新しい設計図では、ヘルプデスクがアクセスを許可する前にユーザーを検証する方法を根本的に再考する必要があります。静的で容易に侵害される知識に依存するのではなく、以下を含む動的で階層化されたアプローチに移行します：
デバイス検証：リクエストはユーザーが以前に登録して検証したデバイスから来ているか？
位置確認と文脈認識：このアカウントで最近、異常なログイン活動はあったか？リクエストは既知の地理的位置から来ているか？
文書検証：個人の書類（パスポートや運転免許証など）が国内外で完全に一致するか？
顔認識：個人の顔の特徴が提供された書類と一致するか？
行動バイオメトリクス：ユーザーの発話パターン、タイピングのリズム、その他の行動シグナルがプロフィールと一致するか？
これらの原則を採用することで、ヘルプデスクの役割を主要な侵害ポイントから、侵害不可能なアイデンティティの守護者へと変えることができます。助けたいという本能は残りますが、堅牢で現代的な検証プロセスによってサポートされます。このアプローチは、真に検証された人だけがアクセスを許可されるよう、すべてのヘルプデスクの対応にシームレスに統合されたセキュリティファーストの考え方を作り出すことです。
前進の道：脆弱性から強みへ
ITヘルプデスクは解決すべき問題ではなく、安全で効率的な企業の重要な構成要素です。課題は、新世代の脅威から防御するための適切なツールとポリシーを提供することにあります。パスワードを必要悪と見なすのではなく、それらが実際に何であるかを認識する必要があります：セキュリティチェーンにおける容認できないほど弱いリンクです。
アイデンティティ保証とパスキーを新たな標準として採用することで、人的セキュリティギャップを解消し、組織を最も高度なソーシャルエンジニアリング攻撃から守ることができます。
