トークン窃盗は、ユーザーがシステムにログインした後に、攻撃者がセッション情報を盗み出すことで発生する。

　情報セキュリティ調査機関IANSの研究員でBedrock Dataの最高セキュリティ責任者（CSO）を務めるジョージ・ガーチョウ氏は、「攻撃者はパスワードを必要とせず、MFAなどを通過することもなく、ユーザーと同じ権限を手に入れる」と話す。「MFAによってパスワードという侵入口は閉じられた。そのため攻撃者はトークンへと狙いを変えた。攻撃者はMFAを破るのではなく、MFAを通過した後のトークンを盗み出している。攻撃者の視点からすればこれは極めて容易な手口だ」（ガーチョウ氏）

　つまり攻撃者は、企業のデジタル環境へ侵入するための足掛かりとしてトークン窃盗を利用する。そして初期アクセスを足掛かりに、データの窃取や組織への妨害といった本来の攻撃目的を進めていく。

　トークン窃盗は通常、主に5つの手法のいずれかで行われる。1つ目はエンドポイント上のマルウェアだ。ガーチョウ氏によると、攻撃者は「サードパーティー製パッケージやユーザーのクリック、侵害されたダウンロードファイルを通じて侵入し、ブラウザのCookieストアをディスクから直接読み取る」という。

　2つ目の手法は、Adversary-in-the-Middle（AiTM：中間者）フィッシングだ。「プロキシが本物のログインページをリアルタイムで中継し、被害者が本物のMFAを通過した直後に、プロキシが戻ってくるトークンを奪取する」とガーチョウ氏は解説する。

　3つ目は悪意のあるブラウザ拡張機能の悪用だ。「広範な権限を付与された拡張機能が、ブラウザの内部からセッションを読み取る。外見上は何も異常がないように見える。現在はこの手口が最も拡大しており、最大の脅威となっている。特にAIを活用した拡張機能には注意が必要だ」とガーチョウ氏は述べる。

　4つ目の攻撃手法はライブセッションの不正利用だ。すでに侵入している攻撃者が既存のトークンを複製するのではなく、ログイン中のセッションを利用して新しいトークンを発行する。

　5つ目はITヘルプデスクを狙ったソーシャルエンジニアリング攻撃だ。ガーチョウ氏は「電話をかけて説得力のある説明をし、パスワードのリセットを実行させ、完全に正規のトークンを受け取る。マルウェアも脆弱（ぜいじゃく）性攻撃も使わない」と説明する。

トークンベースの攻撃への対策

　セキュリティ企業Zero Networksのフィールド最高技術責任者（CTO）を務めるクリス・ボーム氏は、攻撃者がトークンを盗んだ場合、被害者が持つ権限と同等のアクセス権を不正に得てしまう可能性があると指摘する。さらにトークン窃盗は検知が困難で、「セキュリティの観点では、ほとんどの場合で正常なアクセスに見えてしまう」と同氏は付け加える。

　結果としてセキュリティチームは、攻撃者が被害者のアクセスしたことのないデータベースやシステムに接続しようとして初めて、トークン窃盗の被害に遭ったことに気付く場合がある。しかしボーム氏によると、攻撃者は盗んだトークンによるアクセス権を利用して、「より高い権限を持つユーザーへ到達しようとする」ことの方が多いという。「最初のトークン窃盗は、最終目的地へ到達するための足掛かりにすぎない。侵入の機会を作り出し、企業のシステムに入り込んで別の情報を盗み出すことを可能にする」（ボーム氏）

　こうした権限昇格を防ぐためには監視と検知の能力が重要だが、専門家はトークン窃盗そのものを防ぐための適切な防御策の必要性を強調している。

　テクノロジーサービスを提供するGDTでアドバイザリーおよび変革担当バイスプレジデントを務めるクリス・カプスタ氏は、認証層を増やすことが対策になると語る。ただし認証層の追加は運用の手間を増やすことにもつながる。同氏は、ゼロトラストセキュリティ戦略を導入して成熟させることや、ユーザー教育など従来のセキュリティ対策を確実に実施することも重要だと説明する。

　「こうした攻撃の多くで、依然としてユーザーが最大の弱点となっている。そのためユーザーの意識向上が必要だ」とカプスタ氏は話し、トークン窃盗の手口を見抜き、防御する方法を従業員に教えるセキュリティ教育の必要性を訴える。

　セキュリティのあらゆる分野と同様に、全てのトークン窃盗攻撃に対処できる単一の防御策は存在しない。マルウェアによるトークン窃盗を防ぐために、ガーチョウ氏は悪意のあるサードパーティー製パッケージの配布を防ぐ重要性を強調する。「防ぐためには、公開リポジトリをスキャンして不正なパッケージを検出する必要がある。多くのリポジトリに標準機能が備わっているにもかかわらず、大半の企業はまだ実施していない」（ガーチョウ氏）

　AiTMフィッシングに対抗するため、セキュリティチームはユーザーへの意識向上トレーニングを徹底すべきだ。「対話型の形式にし、受講者の理解度に合わせて実施するとよい。まずはトークン窃盗とは何かを質問することから始め、相手の知識レベルを把握することが有効だ」とガーチョウ氏は話す。

　また、ヘルプデスクを狙ったソーシャルエンジニアリングへの対策も同様だ。ガーチョウ氏は、パスワードや認証情報の変更を行う前に、明確な本人確認プロトコルに従うことを提案する。悪意のあるブラウザ拡張機能への防御としては、インストールされている拡張機能を監査し、利用を制限することを推奨している。

　ガーチョウ氏は、AIの活用も検討できると付け加える。「AIツールを活用し、自社環境全体を自動的に調査するとよい。モデルをブラウザセッションに向け、SIEMと連携させることで、トークン窃盗のリスクがどこにあるかを特定できる」（ガーチョウ氏）

セキュリティと業務効率のバランス

　トークン窃盗の手法は1990年ごろに登場した。高速インターネットの普及、ネットワーク接続の拡大、ブラウザへの移行に伴い、重大な脅威へと変化していった。企業がデジタルシステムの利用を拡大し、クラウドを導入し、リモートアクセス環境を整備するにつれて、トークン窃盗はさらに広がった。その結果、アクセス管理や認証で、IDの確認とトークンの利用が必要なデジタル環境が形成された。

　一方でボーム氏によると、ITやセキュリティの責任者は、認証の手間を増やすことの利点と欠点を常に比較検討しなければならないという。トークン窃盗などの攻撃から適切に防御する必要性を認識しつつも、業務の円滑さやスピードを損なわない配慮が求められる。

　カプスタ氏は、AIなどの技術によって適切なバランスを保つための判断基準が変化する可能性があると指摘する。「攻撃側もAIを利用できるため、トークン窃盗を含む攻撃の実行が容易になっている。悪意のある攻撃者が攻撃を生成し、悪用可能な脆弱性を特定して攻撃手段に仕立て上げることが格段に簡単になりつつある」（カプスタ氏）