「Gmail」に新たな脅威、“偽ログイン画面”でアカウント情報がダダ漏れの危険（2/2 ページ）

公開 2017年01月26日 08時02分

著者

Michael Heller

[TechTarget]

印刷する

2要素認証は今後も有効なのか

　今回のGmailフィッシング詐欺は、その仕組みから考えると、ID／パスワードだけではなく2要素認証で利用するコードまでもリアルタイムに取得できる可能性がある。行動的特徴を利用した生体認証技術を手掛けるセキュリティ企業NuData Securityのビジネス開発担当副社長、ロバート・キャップス氏によると、「2要素認証などの多要素認証は、これまでもリアルタイムのフィッシング攻撃の脅威にさらされてきた」という。

　多要素認証が広まる中、攻撃者はどのような認証方法が用いられても対処できるよう、新たな手法の開発に力を注いでいる。セキュリティ企業Absolute Softwareのグローバルセキュリティストラテジスト、リチャード・ヘンダーソン氏は、今回のGmailフィッシング攻撃のような2要素認証をリアルタイムで突破し得る攻撃手法は「珍しいが、唯一無二ではない」と語る。

　2要素認証には、一定時間のみ有効なワンタイムパスワードがよく利用される。こうしたワンタイムパスワードを使って、時間切れとなる前に不正アクセスできる可能性は極めて小さい。その可能性を生かすためには、攻撃者側に相当の投資が必要だ。

　幸いなことに、ワンタイムパスワードを突破する攻撃手法はまだそれほど一般的ではない。だがこうした攻撃手法を用いて、それなりの利益を得ることができるとなれば「攻撃者は必ずや調整を図り、適応してくるだろう」とヘンダーソン氏は語る。

　企業がセキュリティ対策として2要素認証を導入すると、どうしてもエンドユーザーの手間が増える。だがハードウェアキーやスマートフォンアプリケーションなど各種の2要素認証製品／サービスには「追加の手間を掛けるだけの価値がある」と、ヘンダーソン氏は語る。特権的なアカウントであれば、なおさらだ。「そのことをエンドユーザーに理解してもらえるかどうかは、われわれセキュリティベンダーの努力次第だ」と同氏は続ける。

　インターネットセキュリティ企業Malwarebytesのマルウェアインテリジェンスアナリスト主任、ジェローム・セグラ氏は、今回のようなGmailフィッシング攻撃を阻止するための最善の方法は、やはり2要素認証との考えだ。

　「フィッシング攻撃の被害者の多くは、弱いパスワードを複数のWebサイトで使い回しており、追加の認証手段も利用していないのが現状だ」とセグラ氏は説明する。最近は2要素認証にショートメッセージサービス（SMS）を使ったり、パスワードを頻繁に変更したりすることすら批判の対象となる。「特効薬はない。だが2要素認証とパスワード管理を組み合わせることで、信頼できるWebサイトにしかアカウント情報が入力されないように工夫することは可能だ」（同氏）

　Digital Shadowsのホランド氏によれば、セキュリティのコミュニティーはフィッシング詐欺に関して「被害者側にも落ち度がある」という姿勢を改めるべきだという。2要素認証に関してエンドユーザーの負担を最小限に抑えるという点では、まだ先は長い。「従業員のアカウントを悪用したメールシステムへの不正アクセスがあったり、従業員が悪質メールをクリックしたりしても、“被害者たたき”はやめるべきだ」と同氏は語る。

　透過性を高め、エンドユーザーの負担を軽減するためには、地理的情報を認証要素として用いることが可能な「リスクベース認証」システムを利用するのも1つの手だとホランド氏は語る。