9月8日、Google Threat Intelligence Group(GTIG)は複数の攻撃事例を詳細に報告し、AIがサイバー犯罪の経済性をいかに急速に変えつつあるかを示しました。
ある認証情報窃取キャンペーンでは、脅威アクターがまず組織のクラウドインフラを侵害し、その後マルチエージェント型の攻撃フレームワークを構築・展開しました。この一連の作戦は合計6時間足らずで完了し、数千件ものサードパーティの認証情報が侵害される結果となりました。
AIは脆弱性スキャンのパイプラインの一部まで管理し、発生した問題をトラブルシューティングし、ほとんど人手を介さずにIPアドレスをローテーションさせていました。
組織にとってAI導入の主なメリットの一つは、生産性向上をもたらす点です。しかし残念なことに、脅威アクターも同じ能力を悪用し、攻撃をより速く、より容易にスケールさせることができます。認証情報はインフォスティーラーによってすでに日常的に窃取されており、AIは攻撃実行に必要な手間の一部を単純に取り除いてしまうのです。
認証情報が大規模に窃取されやすくなっている今、セキュリティチームは自組織の内部ネットワークに接続してくるユーザーやデバイスを確実に信頼できると判断できるだけの、堅牢な認証プロセスを備えているか確認する必要があります。
AIが自動化する認証情報窃取の手口
マイクロソフトが2026年4月に報告したところによると、同社が観測したAI支援型フィッシングキャンペーンのクリック率は最大54%に達しており、従来型キャンペーンの約12%と比べて大幅に高くなっています。</p
同じキャンペーンでも、作成にかける時間をそれほど増やさずに説得力を高められるのであれば、フィッシングの経済性は攻撃者に有利な方向へと傾き始めます。認証情報窃取においては、これは特に重要な意味を持ちます。この手口はある程度、数の勝負という側面があるからです。すべての受信者がクリックするわけではありませんし、実際に侵害されたアカウントであっても、必ずしも有用なアクセス権につながるとは限りません。
AIを使えば、攻撃者は標的を絞ったメッセージをより素早く生成し、言語や業種に合わせて調整し、一つ一つゼロから書くことなくバリエーションを作り出すことができます。このプロセスの最初の段階で成功率を高めることは、攻撃者にとって、テストできる認証情報が増え、重要なアカウントを見つけ出す機会が増えることを意味します。
したがって、AIが組織にとってのリスクを変えるために、新たな認証情報窃取の手法を生み出す必要はありません。既存の手法の効率を高めるだけで十分なのです。
Active Directory内の侵害された認証情報を洗い出す方法
AIによって認証情報窃取が高速化・大規模化する可能性はありますが、攻撃者が依然として利用しているのは、脆弱なパスワードや使い回しといった、昔からある弱点です。だからこそ、まず可視性を確保することが有効な第一歩となります。セキュリティチームが認証情報のリスクを低減する前に、自組織の環境内のどこに弱点があるのかを把握しておく必要があります。
Specops Password Auditorは、Active Directoryを読み取り専用でスキャンし、パスワード関連の脆弱性を洗い出すとともに、ユーザーやパスワードポリシーに関する問題点を明らかにします。
生成されるレポートにより、セキュリティチームは現時点でどこに認証情報リスクが存在するのかをより明確に把握でき、優先的に対応すべき事項を判断できるようになります。
Specops Password Auditorはこちらから無料でダウンロードできます。
認証に成功したからといって、必ずしも信頼できるとは限らない
窃取された認証情報がもたらす脅威は単純明快です。それは、攻撃者が正規のユーザーと同じアクセス経路を利用できてしまうということです。Unit 42の「2026年版グローバルインシデント対応レポート」が対象とした調査事案のうち、89%においてID関連の弱点が重大な役割を果たしており、攻撃者は窃取した認証情報やトークンを使ってアクセスを獲得し、環境内を横方向に移動していました。
正規のIDを悪用されると、防御側から見た悪意ある活動の見え方が変わってしまいます。攻撃の試みや、明らかに不審なログイン手口が見当たらない場合もあるのです。
攻撃者は、従業員が日常的に利用しているのと同じ認証プロセスを通じて、クラウドサービスやSaaSアプリケーション、その他のリソースにアクセスできてしまいます。認証情報自体は正規のものですが、その背後にある意図は正規ではありません。
セキュリティチームにとっての重要な課題は、認証情報がどこから盗まれたものであれ、それが組織の認証システムにとって「受け入れるべきもの」として設計されている貴重なアクセス手段を提供してしまうという点です。
ここで重要になってくるのが、「認証」と「信頼」の違いです。正しいパスワード、MFAへの応答、有効なセッションは、認証要件を満たしていることを示す材料にはなり得ます。しかし、それだけでは、そのリクエストが組織にとって既知かつ信頼できるデバイスから送られてきているという証明にはなりません。
AIによる攻撃に対して真に強靭なID(アイデンティティ)セキュリティ戦略を構築するにあたっては、「このユーザーは正しく認証されたか」という問いだけでは不十分です。「どのデバイスがアクセスを要求しているのか、それを信頼すべきか」という問いも含める必要があります。
窃取された認証情報の価値を無効化する
パスワード衛生を徹底すればリスクの露出は減らせますが、どんな組織であっても認証情報が絶対に侵害されないと考えることはできません。認証情報窃取型マルウェアが蔓延している以上、予防的な対策を講じていても、攻撃者の手に有効な認証情報が渡ってしまう状況は起こり得ます。
次に問われるのは、その認証情報で何ができてしまうのかという点です。
認証を、あらかじめ承認され特定のユーザーIDに紐づけられたデバイスに限定していれば、有効なパスワードだけではもはや十分ではなくなります。未知のデバイスからそのパスワードを使い回そうとする攻撃者は、突破すべきもう一段階の信頼確認に直面することになります。
これこそがSpecops Device Trustのようなソリューションが果たす役割です。このソリューションはユーザーIDを信頼済みデバイスに紐づけるため、アクセスの可否は「誰が認証しようとしているか」だけでなく「どのデバイスからログインしようとしているか」にも左右されます。実際には、攻撃者が制御する端末から窃取済みの認証情報を使おうとしても、単純にブロックされることになります。
こうしたゼロトラストの取り組みは、多様な従業員層を抱える組織において特に重要です。異なるOSやエンドポイントの種類にまたがるBYODポリシーは一般的であり、それらすべてを網羅するセキュリティ対策を実装するのは容易ではありません。
Specops Device Trustは、Windows、macOS、Linux、モバイルの各環境にわたってデバイス信頼を適用します。つまり、セキュリティチームはネットワークに接続してくるすべてのデバイスを可視化できるということです。
原則はシンプルです。IDを認証し、デバイスを検証し、その両方を要求する――これに尽きます。
Specopsとともに、ID(アイデンティティ)セキュリティ戦略を進化させる
AIによって認証情報窃取はより高速かつ大規模になりつつあり、従来型の認証シグナルだけを信頼することは難しくなっています。強固なパスワード衛生は依然として不可欠ですが、組織は同時に、有効な認証情報やトークンが悪意ある第三者の手に渡ってしまった場合に何が起こるかについても考える必要があります。
つまり、ID(アイデンティティ)セキュリティを「このユーザーは認証されたか」という問いにとどめず、「そのデバイスは信頼できるか」「セッションを通じてその信頼性が維持され続けているか」まで含める形へと進化させる必要があるのです。
Specopsは、デバイス信頼をID(アイデンティティ)セキュリティ戦略に組み込むことで、ゼロトラストの原則によりよく沿った体制づくりを支援します。実際のソリューションをご覧になりたい方はデモをご予約ください。
