侵害された認証情報は、パスワードが作成されてから長期間有効なまま放置されるケースが多く、組織は攻撃者に悪用される前に漏洩したアカウントを特定する対応に追われています。Enzoicが発表した「2026年版クレデンシャルリスクレポート」によると、この問題に対する認識は高まっているものの、監視・対応能力は依然として追いついていない実態が明らかになりました。
MFAを導入していても、依然として懸念される認証情報関連のリスクとは何か（出典: Enzoic）
拡大する漏洩認証情報のリスク
組織の73%が、過去1年間に従業員や契約社員の認証情報が侵害データ、ダークウェブ上の情報源、あるいはインフォスティーラーのログの中から見つかったと回答しています。一方で、自社の認証情報が漏洩しているかどうかを把握できていない組織も約5社に1社に上ります。企業の7割以上が過去1年間に認証関連のインシデントを経験しており、直近のインシデントの3分の2は攻撃者が正規の認証情報を使ってログインしたケースでした。
漏洩した認証情報は、悪用可能な状態のまま放置されることが多く、早期に特定することが認証情報起因のリスクを低減する上で重要な鍵となります。
インフォスティーラーマルウェアが攻撃対象領域を拡大
インフォスティーラーマルウェアは、パスワードやブラウザデータ、認証トークン、セッションクッキーなど、盗まれた認証情報の主要な発生源となっています。攻撃者は有効なセッションクッキーを再利用することで、パスワード入力や多要素認証(MFA)を経ずにアカウントへアクセスできるため、企業側が対応できる猶予はほとんどありません。
2026年版Verizonデータ漏洩調査報告書は、過去1年間に認証情報の漏洩やインフォスティーラーによる被害を経験したランサムウェア被害者のうち、半数がランサムウェア攻撃の95日前以内にその事象を経験していたことを明らかにしました。
組織の39%が、過去1年間にインフォスティーラーのログの中から従業員の認証情報を発見したと回答した一方で、43%はこうしたデータセットを監視していない、あるいは監視しているかどうか把握していないと答えています。侵害データやインフォスティーラーのデータを監視することで、認証情報が悪用される前の早期発見につながります。
パスワードチェックだけでは後発の漏洩を見逃す
組織は主にパスワードの作成時やリセット時にチェックを行っていますが、実際にはフィッシングやサードパーティの侵害、インフォスティーラーマルウェアを通じて、その後に認証情報が漏洩するケースが少なくありません。継続的な監視体制はまだ限定的で、有効な認証情報を常時監視し、漏洩したアカウントを自動的に是正している企業は5社に1社にも届きません。
この調査結果は、決まったスケジュールではなく侵害の証拠が確認された時点でパスワードを変更するよう推奨するNIST SP 800-63Bのガイダンスとも一致しています。Active Directory環境において侵害されたパスワードが広く存在するにもかかわらず、その有無を一度も確認したことがない組織が約5社に1社に上ります。
組織は一般的にダークウェブや侵害データの監視、SIEMアラートの分析、侵害された認証情報のチェックなどを行っていますが、新たに漏洩した認証情報を悪用リスクが低減できるほど迅速に特定できず、依然として苦労している企業が多いのが実情です。回答者の約半数は、直近の認証関連インシデント発生から1週間以内に認証情報の侵害を確認できたと答えた一方、それ以上の時間を要した、あるいは認証情報が関与していたかどうかを判断できなかったという回答も多く見られました。
漏洩した認証情報が特定された後の対応としては、強制的なパスワードリセット、ユーザーへの通知、アカウント調査が最も一般的であり、自動化された対応ワークフローの活用はまだ広くは普及していません。
認証情報のセキュリティ、責任の所在はどこに
MFAは盗まれたパスワードの悪用を難しくするものの、認証情報の漏洩そのものをなくすわけではありません。組織は依然として、MFAを回避あるいは弱体化させる攻撃手法として、中間者(AiTM)攻撃、MFA未導入ユーザーの存在、パスワードへのフォールバック、MFAチャレンジが発動する前に認証情報が使用されるケースなどを挙げています。
MFAが認証情報の漏洩問題に十分対処できていると考える組織は、わずか13%にとどまります。パスワードへのフォールバックは依然として一般的であり、MFAで十分な保護が得られると考え、認証情報の監視を導入していないと回答した組織もありました。
認証情報の監視は、依然として社内従業員のID管理システムに重点が置かれており、SaaSアカウントやサービスアカウント、マシンID、顧客向けシステム、サードパーティによるアクセスへの対応は手薄になっています。外部IDに対する注意も限定的で、漏洩した認証情報への防御が弱い攻撃経路が他にも残されたままとなっています。
各企業は認証情報のセキュリティ対策への投資を進めており、今後1年間でMFAやパスワードレス認証、ID脅威検知・対応(ITDR)、侵害された認証情報の監視の拡充を計画している企業が多く見られます。ただし、認証情報のセキュリティに関する責任は複数のチームにまたがって分散していたり、明確な担当者が定まっていなかったりするケースが多く、これが連携面での課題を生み、認証情報の不正利用を防ぐ取り組みを戦略的優先事項に据える妨げとなっています。
翻訳元: https://www.helpnetsecurity.com/2026/07/30/enzoic-credential-exposure-risks-report/
