調査結果における注目点は、アイデンティティーに対する攻撃とランサムウェア感染の間に、明確かつ強力な相関関係が見られたことだ。過去1年間にランサムウェアの被害に遭った企業のうち、66.5％が「ランサムウェアのインシデントと、自社が経験した最も重大なアイデンティティー攻撃は同一の出来事だった」と回答した。単なるパスワードの漏えいや認証情報の窃取が、最終的にデータの暗号化や業務の全面停止を引き起こすランサムウェア攻撃の直接的な侵入経路になっていることが分かる。

　企業の規模によって攻撃を検出する能力に格差があることも判明した。従業員100～250人の小規模な企業では、19.4％が攻撃を検出・阻止できなかったのに対し、1001～3000人の中規模企業ではその割合が11.3％にとどまった。この結果は、人員や予算が限られている企業ほど、セキュリティ監視の体制構築に苦慮していることを示している。業界別に見ても、エネルギー・公益事業（80.3％）や中央政府（78.4％）での侵害発生率が高く、重要インフラを標的とした攻撃が活発化している実態がうかがえる。

　攻撃者が侵入に成功した根本的な要因を分析すると、従業員がフィッシング詐欺などでだまされて認証情報を渡してしまう「ヒューマンエラー」（42.7％）に次いで、「NHIの管理不備」が40.6％を占め、第2位となった。

　NHIは、API（アプリケーションプログラミングインタフェース）キー、サービスアカウント、クラウドサービスと連携するための認証トークンなど、人の介入なしにシステムやソフトウェアがデータや機能にアクセスするためのデジタルな認証情報だ。業務の自動化やAIエージェントの導入が急速に進んだことで、企業システムにおけるNHIの利用範囲は大きく広がっている。Sophosはレポートにおいて、自律的に動作するAIエージェントがタスクを処理するために新しいAIエージェントを自動で生成する現象を指摘している。そのたびに人の監視が及ばない認証情報が次々と作られるという、これまでのセキュリティ枠組みでは対処が困難な新たな課題を生んでいる。

　そもそもNHIは、システム間の連携をスムーズにするために、広範かつ永続的なアクセス権が付与されることが一般的だ。それにもかかわらず、従業員のアカウントのように退職時に削除されるといった明確なライフサイクルがなく、監視や管理が行き届きにくいという特徴がある。今回の調査において、NHIやサービスアカウントの権限を見直し、ローテーション（変更）や定期的な監査を継続的に実施している企業はわずか11.1％にとどまった。

　調査データは、NHIの管理が不十分な企業が受ける被害の大きさも示している。NHIの適切な権限管理ができていない企業は、攻撃者によって支払い先が変更されるなどの金銭的な窃取被害に遭う確率が平均よりも22.0％高く、データの暴露を盾に取られた恐喝の被害に遭う確率も平均よりも24.4％高いことが判明した。被害を受けた場合の復旧費用も、平均の164万ドルと比較して約15万ドル高いという結果になった。

　基本的な防衛策の徹底が遅れている実態も浮き彫りになった。異常なログイン試行をリアルタイムで継続的に監視している企業は全体の24.1％に過ぎず、半数以上（50.6％）の企業は3カ月に1回、あるいはそれ以下の頻度でしかログを確認していない。これでは、攻撃者がシステム内に侵入し、長期間にわたって潜伏していても気付くことができない。

　アイデンティティーを狙う脅威は今後も高度化、自動化することが想定される。企業は、多要素認証（MFA）の導入や特権アクセスの厳格な管理といった基本的な対策を徹底する必要がある。それに加えて、社内に散在するNHIを棚卸しし、不要な権限の削除や定期的な監査を日常的な運用プロセスに組み込むことが急務だ。アイデンティティーの保護は、システム導入時の一過性のプロジェクトではなく、絶えず変化するシステム構成や脅威の状況に合わせて継続的に監視、管理すべき重要な業務になっている。