攻撃者が今も突いているMFAの抜け穴

2026年8月4日、Akiraランサムウェアのアフィリエイトがパスワードスプレー攻撃をSonicWallのSSL VPNに対して開始しました。約7分後、試行の1件が成功します。認証情報は有効で、このVPNアカウントには多要素認証（MFA）が設定されていませんでした。それから約2時間後、攻撃者はRDPでドメインコントローラーにアクセスし、Active Directoryの列挙を始めました。

ランサムウェアの展開は最終的に失敗しましたが、その時点で攻撃者はすでに認証情報とファイル共有のデータを盗み出していました。

この事例は、2026年になっても多くの組織に残る問題を浮き彫りにしています。Microsoft 365などのSaaSアプリケーションにはMFAを必須としていても、一部のアクセス経路はパスワードだけで守られたままになっているのです。攻撃者が日常的に突いているのは、まさにこの隙間です。

盗まれた認証情報は今も攻撃者にとって有力な手段

攻撃者は有効なアカウントを手に入れれば、正規の従業員や管理者と同じ認証の仕組みを通じて環境に入り込めます。AIはここに新たな側面を加え、攻撃者がより高速かつ大規模に活動することを後押ししています。

根底にあるIDを狙う手口は、ほとんど変わっていません。攻撃者は今もIDを侵害し、認証情報を使い回し、権限を昇格させ、正規のアクセスを悪用します。脅威となるのは、AIによって従来の手口をより安価に、より容易に大規模展開できるようになる点です。

認証情報を入手された後にこれがなぜ重要になるのかは、Mandiantのランサムウェア調査から見て取れます。侵入口を特定できた2025年のインシデントのうち、21%で初期アクセスの手段となったのは、正規の認証情報の侵害でした。多くはRDPまたはVPN経由です。

RDPは攻撃チェーンの後半でも頻繁に登場します。Mandiantが調査したランサムウェアインシデントの約85%で、攻撃者は侵害したアカウントや新規作成したアカウントをRDPで使い、横展開（ラテラルムーブメント）を行っていました。

組織内の盗まれた認証情報を特定する

強力な認証は、盗まれたパスワードで攻撃者にできることを制限するのに役立ちます。それでも、漏えいした認証情報や危険な認証情報は、悪用される前に見つけ出しておく価値があります。パスワードの使い回しや脆弱なパスワードの選択、過去の侵害で流出した認証情報は、いずれも環境内のどこかで有効なパスワードを攻撃者に見つけられる可能性を高めます。

そのため、定期的なパスワード監査はActive Directoryのセキュリティにおいて有用な取り組みです。Specops Password Auditorは、読み取り専用の無料パスワード監査ツールです。Active Directoryをスキャンしてパスワード関連の脆弱性を検出し、ユーザー情報やパスワードポリシー情報を含むインタラクティブなレポートとして結果を示します。

これにより、IT部門は認証情報のリスクを根本から減らす機会を得られます。パスワードの弱点を特定し、可能な限り対処し、パスワードが1つ侵害されただけではアクセスを許さない状態を整えることができます。

クラウドMFAだけではWindows環境全体を守れない理由

Microsoft 365、IDプロバイダー、SaaSアプリケーションは、インターネットに公開され、頻繁に狙われるため、追加の認証要素を導入する場所としてまず思い浮かぶ対象です。ところが、クラウドのMFAは、同じユーザーIDに依存するすべてのシステムに自動的に及ぶわけではありません。

ユーザーは、社内のIDプロバイダー経由でSaaSアプリケーションにアクセスする際にはMFAが必要でも、同じアカウントがほかの場所ではパスワードだけで受け付けられる可能性があります。

その結果、認証環境が断片化し、他より守りの堅い経路とそうでない経路が混在します。これが攻撃者の突く隙になります。

VPNも抜け穴になり得ます。8月のAkiraランサムウェア攻撃が示したように、有効なユーザー名とパスワードを入手した、あるいはブルートフォースで突破した攻撃者は、MFAが強制されていなければ、その認証情報をそのままリモートからのネットワークアクセスに変えられる可能性があります。

したがってIT部門とセキュリティ部門にとって有益な問いは、単にMFAを導入しているかどうかではありません。パスワードだけで足りてしまう場所がどこに残っているかです。Windowsログオン、RDP、VPNアクセス、そして古いADベースのサービスは、いずれもこの見直しの対象に含める価値があります。

認証の抜け穴をふさぐ

抜け穴をふさぐとは、MFAをクラウドアプリケーションの手前だけに置くものと捉えず、認証情報がいまだ信頼されている場所に、より強力な認証を適用することです。

こうした場面で役立つのがSpecops Secure Accessのようなソリューションです。MFAをWindowsログオン、RDP、VPNの認証にまで拡張します。盗まれたActive Directory認証情報を使って攻撃者が日常的に狙うアクセス経路に、強力な保護を加えられます。

また、OIDCとSAMLを通じてSaaSアプリケーションのSSOにも対応しており、組織はオンプレミスとクラウドのサービスにわたって、より一貫した認証方式を適用できます。

認証は、セキュリティテレメトリの有用な情報源でもあります。Specops Secure AccessはSIEM、SOC、分析プラットフォームと連携し、認証イベントや不審なアクティビティを組織全体の監視プロセスに取り込めます。

ただし、ユーザーを守ることは全体像の一部にすぎません。次に問うべきは、リクエストを送ってくるデバイスを信頼してよいのかという点です。

盗まれたパスワードのリスクを軽減する

2026年においても、盗まれたパスワードは、VPNやRDPセッション、Windowsシステムが追加の確認なしに受け付ける限り、攻撃者にとって強力な武器です。MFAの導入そのものと同じくらい、MFAの適用範囲が重要なのはこのためです。クラウドアプリケーションの保護は重要ですが、環境内のほかの場所にあるパスワードのみに頼る認証経路が生むリスクを取り除くものではありません。

あらゆる侵入を止められる単一の対策はなく、MFAも例外ではありません。しかし組織は、「パスワードだけで使えてしまう場所はどこか」という単純な問いを立てることで、認証情報の窃取を大幅に役立たないものにできます。

Specops Secure Accessでそうした領域に保護層を追加すれば、盗まれた認証情報が1つあっても、ネットワークの他の部分への最も容易な侵入経路になることはありません。

IDセキュリティ戦略の抜け穴をふさぎたい方は、今すぐSpecopsのデモを予約してください。