サービスデスクにおける「本人確認の隙」をふさぐ

企業は、従業員のログインを守るために多額の投資を行ってきました。多要素認証（MFA）や条件付きアクセスポリシーなどのID管理策により、攻撃者が不正にアクセスすることは以前より難しくなっています。しかし、アクセスを回復する手続きが同じ水準で守られていなければ、こうした保護も無力化されかねません。

従業員がアカウントにアクセスできなくなったとき、パスワードのリセットやアカウントの復旧を担うのは、多くの場合サービスデスクです。ところが、本人確認は今でも、上司の名前や所属部署といった知識ベースの質問に頼っているのが一般的です。

これは、ID セキュリティに隙を生みます。強固なログイン保護をかいくぐり、より脆弱な経路からアカウントに侵入できてしまうからです。しかも、ソーシャルエンジニアリング攻撃が巧妙になるにつれ、この隙はますます危険なものになっています。

知識ベースの本人確認はもはや信頼できない

攻撃者は、電話をかける前に驚くほど多くの情報を集められます。LinkedInのプロフィール、企業のWebサイト、SNS、流出したデータからは、役職や同僚、勤務地、個人的な情報まで、あらゆることがわかります。

こうした情報を手にした攻撃者は、本人確認の質問に正しく答え、正規の従業員になりすますことができます。

この確認を通過するだけでパスワードのリセットやアカウントの復旧が認められる場合、危険性はとりわけ高まります。攻撃者は、従業員本来の認証情報を侵害することなく、そのアカウントにアクセスできてしまうのです。

知識ベース認証のリスクは、すでに広く知られています。NISTのデジタルID ガイドラインは、秘密の質問を認証方法として認めていません。2026年の脅威環境において、ある人物に関する情報を知っていることは、その人物本人であることの証明にはなりません。

AIとソーシャルエンジニアリングが隙をいっそう危険にする

Scattered Spiderのようなサイバー犯罪グループは、サービスデスクを好んで標的にしています。MFAを直接突破しようとするのではなく、従業員になりすまし、サービスデスクの担当者を説得してパスワードをリセットさせたり、新しいMFAデバイスを登録させたりします。巧妙な電話一本で、アカウントへのアクセスを得られる場合もあります。

生成AIは、こうした攻撃の検知を難しくし、大規模化を容易にしています。攻撃者はAIを使って、もっともらしい筋書きや自然な会話を作り出し、従業員の声を真似ることさえできます。サービスデスクの担当者が、正規の問い合わせと攻撃者を見分けることは、ますます困難になっています。

2025年のGartnerの調査によると、62%の組織が、前年にソーシャルエンジニアリングや自動化されたプロセスを伴うディープフェイク攻撃を経験していました。

一方、Verizonの「2026 DBIR」では、テキストメッセージや音声通話によるソーシャルエンジニアリングの成功率が、従来のメールフィッシングより40%高いことがわかりました。

サービスデスクの担当者は、相手の話しぶりがどれだけ説得力を持つかを判断材料にはできなくなりました。本人確認は、なりすましを見抜く担当者の力量ではなく、安全で一貫した確認手順に基づく必要があります。

セキュリティだけの問題ではない

アクセスの回復にはコストもかかります。アカウントがロックされるとサービスデスクへのチケットが発生し、従業員の業務は中断され、ただでさえ多忙なIT部門の負担も増します。勤務時間外にアクセスを失えば、通常のリセットでも数時間のダウンタイムになりかねません。

金銭的なコストも見逃せません。ヘルプデスクでのパスワードリセットは、1件あたり約70ドルかかります。これが数百件、数千件にのぼれば、費用はたちまち膨らみます。

安全なセルフサービス型の復旧を使えば、従業員はサービスデスクに連絡せずにアクセスを回復できます。さらに、本人確認を効率化すれば、サポートが必要な依頼にも担当者が対応しやすくなります。適切なプロセスを整えれば、セキュリティを損なうことなく業務負荷を減らせます。

隙をふさぐ：安全なサービスデスク認証とは

サービスデスクの担当者に、AIを使ったソーシャルエンジニアリングを見抜く専門家になることを求めるのは現実的ではありません。もちろん研修は引き続き重要です。担当者が、不審に感じたときに自信を持って依頼を断ったり、エスカレーションしたりできるようにしておく必要があります。

あわせて、重要なアカウント変更を行う前に、本人確認を確実に行う手段も欠かせません。確認は、相手の話しぶりがどれだけ説得力があるかという判断に委ねるのではなく、必須のステップにすべきです。

Specops Secure Service Deskのようなソリューションを使うと、次の4つのシンプルな手順でこれを実践できます。

1. 従業員がサービスデスクに連絡：従業員の「John Doe」さんが、アカウントにアクセスできないと電話をかけてきます。担当者はSpecops Secure Service Deskで復旧リクエストを開始します。
2. 担当者がアカウントを特定：担当者はJohnさんの情報からアカウントを見つけ、本人確認のプロセスを開始します。
3. 本人確認を実施：Specops Secure Service Deskは、メール、SMS、Duoなどのサードパーティ製認証アプリを含む、さまざまな確認方法に対応しています。そのため、相手がスマートフォンを使えるかどうかにかかわらず、依頼内容に適した方法を選べます。
4. 確認が完了したら担当者が対応：Johnさんが本人確認に成功して初めて、担当者はパスワードのリセットなど、依頼された操作を実行できます。

目標は、担当者にも従業員にも不必要な手間をかけることなく、安全な本人確認をサービスデスクの業務フローに一貫して組み込むことです。

アカウント復旧をログインと同じ強度に

サービスデスクへの巧妙な電話一本で突破されてしまうのなら、強固なログインセキュリティもほとんど意味を持ちません。パスワードのリセットやアカウントの復旧にも、保護対象の認証制御と同等に堅牢な本人確認が求められます。

知識ベースの質問を、一貫性のある安全な本人確認に置き換えれば、従業員やサービスデスクの担当者に負担をかけることなく、なりすましのリスクを減らせます。

仕組みを確かめたい方は、Specops Secure Service Deskのインタラクティブなウォークスルーをお試しください。重要なアカウント変更の前に、サービスデスクの担当者がどのように安全に本人確認を行えるかがわかります。

Specopsがお客様のIDセキュリティ戦略をどのように支援できるかにご関心がある方は、こちらからお問い合わせください。