認証強化と認可管理による不正アクセス対策高度化のアプローチ

不正アクセス対策として多要素認証を導入し、認証機構の強化を行う国内企業が増加している。その一方で、全社展開の方法や利便性への配慮、多要素認証を回避する攻撃への対応などが検討すべき論点にあがってきている。さらに近年では、認証を強化しても認可プロセスの侵害により不正アクセスが発生する事案も確認されている。特にOAuthを悪用した攻撃が顕在化しており、認証と認可の両面から対策を行う必要がある。本稿では、多要素認証の導入・運用の要点とパスキー認証の有効性、そしてOAuthを標的とした攻撃への対策を解説する。

1．多要素認証の効率的な導入アプローチと懸案されるセキュリティリスク

1-1．多要素認証の有効性

不正アクセス対策を論じるにあたって、まず不正アクセス対策として、国内組織で導入が進んでいる多要素認証（MFA：Multi-Factor Authentication）の有効性やその課題についてみていく。

MFAとは、複数の異なる認証要素を組み合わせることで認証強度を高める技術である。MFAで用いられる代表的な認証要素は、「知識認証」「所有物認証」「生体認証」の3つに大別される（図1）。

図1．多要素認証に活用される主な認証要素の概要

一般的には、「知識認証（パスワード認証）」に、「所有物認証」または「生体認証」を組み合わせるケースが多い。これにより、仮にパスワード認証が突破された場合でも、他の認証要素によって不正アクセスを遮断できる可能性が高まる。

また、MFAの導入は、アカウントの共有利用を抑止する効果も期待できる。パスワード認証のみの場合、パスワードを共有することで複数人が同一アカウントを利用できてしまう。一方、MFAでは、パスワード以外の認証要素についても共有が必要となるため、アカウントの使い回しを困難にすることができる。

さらに、情報処理推進機構（IPA）が公表している「情報セキュリティ10大脅威 2025」においても、MFAは「ランサム攻撃による被害」「リモートワーク等の環境や仕組みを狙った攻撃」「地政学的リスクに起因するサイバー攻撃」の3つの脅威に有効な対策としている。
このように、MFAは異なる性質をもつ幅広い脅威に対応可能な認証強化の施策であり、組織において優先的に導入・定着を図るべき重要な技術として認識する必要がある。