セキュリティ研究者らはこのほど、「Pass-the-Passkey」と名付けられた新たな攻撃手法を明らかにしました。攻撃者はこれを用いて企業ユーザーになりすまし、Windows 11とMicrosoft Entra ID環境におけるフィッシング耐性のある多要素認証(MFA)による保護を回避できるといいます。
今回の研究成果は、パスキーが認証情報のリプレイ攻撃やセッション悪用に対して本質的に耐性を持つという通説に一石を投じるものです。
Pass-the-PasskeyがWindowsを悪用
この攻撃は、FIDO2セキュリティキーやWindows Helloコンテナ、その他の信頼できるハードウェアからパスキーの秘密鍵を抽出するものではありません。
Cloudsecurity services
その代わりに、WebAuthnの実装や検証ワークフローに存在する弱点を突き、過去に生成された認証データを再利用可能な「なりすまし用の素材」に変えてしまうのです。
SpecterOpsの研究者らが発見したところによると、Windows 11はWebAuthnのアサーション応答全体を、Microsoft-Windows-WebAuthN/Operationalイベントログに記録してしまう場合があるとのことです。
このアサーションには、チャレンジ、認証器データ、クレデンシャルID、ユーザーハンドル、署名など、パスキー認証時に必要となる重要な情報が含まれる可能性があります。
状況によっては、低権限のユーザー、場合によってはイベントログにアクセス可能なリモートユーザーまでもが、他のユーザーのパスキーログイン時に生成されたアサーションデータを取得できてしまう可能性があります。
この攻撃チェーンの2つ目の要素は、Microsoft Entra ID側のサーバーサイドにおけるパスキー検証に関わるものです。今回の研究によれば、Entra IDはチャレンジの一意性、セッションバインディング、署名カウンターの検証といった、WebAuthnのリプレイ攻撃対策として重要な仕組みを十分に強制していなかったとされています。
その結果、事前に取得したアサーションを持つ攻撃者は、それをEntra IDに対してリプレイすることで元のユーザーになりすまして認証を突破でき、フィッシング耐性のあるMFAを要求する条件付きアクセスポリシーさえも満たしてしまう可能性があります。
この手法は、概念的には従来のパス・ザ・ハッシュ、パス・ザ・チケット、NTLMリレー攻撃と似ています。これらのケースではいずれも、攻撃者は元となる秘密情報そのものを必要とせず、システムが誤って正当なものとして受け入れてしまう認証データを再利用しているだけなのです。
特に深刻な影響が生じるのは、盗み取られたアサーションが、共有端末や踏み台ホスト、仮想デスクトップ、セグメント分離が不十分な管理用ワークステーションから作業する管理者など、Entra IDの特権アイデンティティに属している場合です。
| 攻撃段階 | 影響を受けるコンポーネント | セキュリティ上の影響 |
|---|---|---|
| アサーションの漏えい | Windows 11のWebAuthnイベントログ記録 | 認証応答データが窃取される可能性 |
| 検証の不備 | Microsoft Entra ID | リプレイされたアサーションが受理される可能性 |
| ポリシーの回避 | 条件付きアクセス | フィッシング耐性MFAの要件を満たしてしまう可能性 |
| 特権の悪用 | 管理者アイデンティティ | クラウドアカウントへのなりすましとテナントへの影響 |
SpecterOpsは、今回の問題がより広範な課題を浮き彫りにしていると述べています。WebAuthnの暗号技術自体は堅牢であり続けたとしても、エンドポイントのテレメトリ、ブラウザの挙動、OSのAPI、依拠当事者(relying party)側の検証、ユーザーインターフェースの制御といった周辺要素に弱点があれば、悪用可能な隙が生まれてしまうというのです。
WebAuthn仕様は複雑な検証プロセスを要求するため、個々のチェックを省略したり弱めたりする実装があれば、パスキーの魅力の源泉であるはずのセキュリティモデルそのものが損なわれかねません。
Microsoftは、CVE-2026-34348として追跡されているWindowsのログ記録に関するこの問題について、2026年7月時点で記録される署名情報を切り詰める形で対処済みとしています。
組織としては、自組織のWindowsエンドポイント、特に管理者用ワークステーションやEntra IDでの特権操作に使用される端末が、該当のセキュリティ更新プログラムを確実に適用済みであることを確認すべきです。
Cloudsecurity services
防御側としては、Windowsのイベントログへの不要なアクセスを制限し、Event Log Readersグループやリモート管理関連グループのメンバーシップを見直したうえで、WebAuthnのOperationalログへの不審なアクセスを監視することが推奨されます。
Entra IDの管理者は、価値の高いアカウントについてはデバイスに紐づいたハードウェアベースのパスキーを優先的に採用し、可能な場合はアテステーションを必須とし、特権アイデンティティに共有端末を使わせないようにすべきです。
最も重要な点として、企業はフィッシング耐性のあるMFAをアカウント侵害に対する万全の防御策とみなすべきではありません。
パスキーはパスワード窃取や従来型のフィッシングに対する耐性を大幅に高めますが、今回の研究は、アイデンティティの保証がエンドポイントの健全性、リプレイ耐性を備えたサーバー側の検証、厳格な権限分離、そして再利用された認証情報を検知する仕組みにも左右されることを示しています。
新たなフィッシングやマルウェアが貴社を侵害する前に阻止しましょう。 世界15,000のSOCからのライブインテリジェンスを統合
翻訳元: https://gbhackers.com/pass-the-passkey-attack-exploits-windows-and-entra-id/
