パスワードのリセットではもはや攻撃者を止められない理由

デバイスコードフィッシング攻撃の急増は、攻撃者がパスワードを盗むだけでなく、認証セッションやトークン、そして信頼関係そのものを標的にする傾向を強めていることを浮き彫りにしています。これらを奪うことで正規ユーザーになりすまし、持続的なアクセスを維持できるからです。

トークンやセッションが侵害されると、攻撃者は信頼されたIDの環境内で活動できるようになり、悪意ある行動を正規ユーザーの行動と見分けることが難しくなります。デバイスコードフィッシングはその典型例です。この手法は、スマートTVやIoT機器のように入力手段が限られたデバイス向けに設計された正規のサインインプロセスを悪用します。攻撃者はフィッシングメールに記載されたコードを、本物のMicrosoftやGoogleの認証ページに入力させることでユーザーを騙し、知らぬ間に攻撃者のセッションを承認させ、アカウントへのアクセスを許してしまいます。こうした攻撃は、多要素認証(MFA)が有効な環境でも成功します。狙われているのはパスワードそのものではなく、認証済みのセッションだからです。

盗まれたパスワードや不審なログイン試行、認証失敗の検知を目的とした従来型の防御策は、効果が薄れています。攻撃者は侵害された認証情報ではなく、有効なアクセストークンを使って行動しているためです。

戦術の転換

認証トークンを狙う他の攻撃としては、ブラウザのクッキーやOAuthトークンの窃取、侵害済みシステムからのAPIキー抽出、そしてシングルサインオン(SSO)プラットフォームを侵害して、複数の連携サービスへのアクセスを可能にする有効なセッショントークンを取得する手口が挙げられます。

「この変化は、攻撃者が有効な認証情報と有効なセッションを携えて現れることを意味します。アプリケーション側から見れば、攻撃者は正規ユーザーと寸分違わない存在に見えるのです」と、ClearVectorのCEO兼創業者であるJohn Laliberte氏は述べています。

防御側にとっての帰結は、認証そのものがもはや「真実の瞬間」ではなくなったということだと同氏は指摘します。本当に重要なのは、ログイン後に起きるすべての出来事なのです。「パスワード、MFAプロンプト、サインイン時の条件付きアクセスといった『玄関口』にセキュリティ対策の重心を置いている防御側は、攻撃者がすでに通り過ぎてしまった検問所を守っているにすぎません」とLaliberte氏は述べています。

専門家によると、攻撃者がトークン窃取やセッションハイジャックに軸足を移しつつある背景には、MFAやパスワードマネージャーの普及によってパスワードセキュリティの実践が向上し、従来型の認証情報侵害が難しくなってきたことがあります。トークンを使えばアカウントへのより持続的なアクセスが可能になるうえ、セキュリティチームが注意深く監視しがちなパスワードリセットやMFAプロンプトを回避できるという利点もあります。

「ユーザー認証がコピー不可能なデバイス紐付けのパスキーへと移行する中で、攻撃者は単に次に狙いやすいターゲット、つまりセッショントークンへと移っているだけです。セッショントークンは今もほぼどこでもコピー可能な『ベアラー認証情報』のままだからです」と、Beyond IdentityのCEOであるJasson Casey氏は指摘します。デバイスコードフィッシング、AiTM(Adversary-in-the-Middle)、ブラウザ・イン・ザ・ミドル、トークン窃取はいずれも、コピー可能かつ再利用可能な認証情報を狙うという点で本質的に同じものです。

ログインの保護から認証済みセッションの保護へ

結論として、アイデンティティはもはや、その場限りの検証として扱うことはできません。Keeper SecurityのCISOであるShane Barney氏は、認証をゴールとして扱うのではなく出発点として捉え、セッションのライフサイクル全体を通じて信頼性を継続的に検証すべきだと助言します。「最もよくある誤りは、認証に成功することがすなわち継続的な信頼につながると思い込んでしまうことです。多くの組織はログインプロセスの保護には多大な投資をしていますが、その後に何が起きているかについての可視性は限られています」とBarney氏は指摘します。

持続的なセッション、過剰な権限、管理されていないOAuth連携、長期間有効なトークン、特権的な操作に対する監視不足――これらはいずれも、攻撃者がアクセス獲得後に検知されずに活動する機会を生み出します。同氏によれば、多くの場合、組織はクラウドプラットフォームやSaaSアプリケーション、サードパーティサービスにまたがるID管理の乱立にも悩まされており、一貫したアクセス制御を維持するのが難しくなっているといいます。

Barney氏をはじめとする専門家によると、現代のトークン窃取攻撃から身を守るには、組織はログインプロセスの保護から、認証済みセッションを継続的に保護する方向へと焦点を移す必要があります。

継続的な監視とその他の対策

これには、認証後の行動に異常がないかを監視できる体制や、侵害されたセッションによる影響を最小限に抑えるためにユーザー権限やサードパーティアプリケーションの権限を制限することが含まれます。パスワードや従来型のMFAだけに頼るのではなく、組織はFIDO2セキュリティキーやパスキーといったフィッシング耐性のある認証手段を採用し、トークンリプレイ攻撃を防ぐために認証トークンを信頼できるデバイスに紐付けるべきです。また、セッション全体を通じてユーザーとデバイスのリスクを継続的に検証し、侵害されたトークンを迅速に失効させる必要性も重要な鍵となります。

「組織は、ユーザーがある時点で認証に成功したからといってアクセスを継続的に許可するのではなく、セッションには継続的な検証が必要だという考え方に転換する必要があります」と、Black Hills Information Securityでセキュリティ運用担当ディレクターを務めるHayden Covington氏は述べています。「ここでの目標は、セッションの背後にいる人物が、そのセッションを開始したユーザー本人ではないことを示唆する異常がないか、継続的なセッションを監視することです」。

Covington氏によれば、トークン窃取を実際に打ち破る対策は、フィッシング耐性のあるMFAと、トークンをデバイスに紐付けることで盗まれたトークンを他所では無効にするトークン保護です。同氏は、これらの対策に厳格な条件付きアクセスとセッションリスクポリシーを重ねて適用することも極めて重要だと述べています。例として、ほとんどのユーザーが必要としないデバイスコード認証をブロックすることや、普段Macで作業しているユーザーが突然Windowsマシンから現れたり、予期しない都市からセッションを開始したりするといった、異常なデバイス属性にフラグを立てることを挙げています。

「組織はアイデンティティを、単なる関門ではなく生き物のように扱う必要があります」とClearVectorのLaliberte氏は述べています。そのためには、人間であれサードパーティであれマシンであれ、あらゆるIDが認証後に実際に何を行っているかを可視化できるようにする必要があります。「非人間のIDやサードパーティは、人間のIDと同じくらい重要です。OAuthの悪用は、誰も二度と見直すことのないサードパーティとの信頼関係に乗じて行われることが多いからです」。組織はまた、フェデレーテッドアクセスも含め、本番環境におけるあらゆる操作を元のIDまで遡って特定できる能力を持つ必要があります。「重要な問いは『このトークンは有効か』ではなく、『この活動はこのIDにとって理にかなっているか』です」とLaliberte氏は指摘します。

認証情報の保護から認証済みセッションの保護へという同じ転換は、インシデント対応にも当てはまります。Suzu LabsのCTOであるDenis Calderone氏は、多くの組織で最も多い誤りは、パスワードをリセットしても有効なセッションが終了するわけではないという事実を理解していないことだと述べています。「侵害されたアカウントのトリアージを行う際には、有効な更新トークンをすべて別ステップとして明示的に失効させる必要があることを、私たちは今も顧客に説明して回っています」。パスワードのリセットだけでは既存のセッションはすべて生き続け、攻撃者は接続を維持したままになってしまう、とCalderone氏は指摘します。「組織はまた、セッションが侵害された際の被害範囲を抑え込めるよう、権限を徹底的に絞り込む必要があります」。