世界中の組織は日々、人的ミスにつけ込み、侵害されたアカウントを悪用し、巧妙で説得力のある手口で企業ネットワークへ入り込む、フィッシングのようなますます高度なサイバー攻撃に対処しています。守るべきツールにアクセスするのは現場の従業員であるため、セキュリティと快適な利用体験を両立させることは、すべての経営層にとって最優先の目標であるべきです。しかし本記事で見ていくとおり、その経営層自身もまた、フィッシングに端を発するアカウント乗っ取りの標的となっています。
その顕著な例が、2022年終盤、暗号資産取引所FTXの最後の日々に起きた大規模なハッキングです。この事件では4億ドルが失われました。当初は内部犯行とみられていましたが、調査の結果、SIMスワップを行う集団が幹部になりすまし、携帯通信事業者を操ってその幹部の電話番号を掌握し、二要素認証（2FA）を迂回してFTXのデータベースに侵入していたことが判明しました。
ほぼ同じ時期、Europolは、ソーシャルエンジニアリング、メールの侵害、金融面での操作を組み合わせて、わずか数日で4,000万ドルを奪ったCEO詐欺集団を摘発しました。さらに最近では、正体不明の攻撃者が、経営幹部を含む数百のMicrosoft Azureアカウントを標的とし、個別に作り込んだフィッシングの誘い文句や共有ドキュメントを駆使した認証情報の窃取とアカウント乗っ取りによって、機微なデータと金融資産を狙いました。
標的とされた職務の幅広さは、被害組織のさまざまなリソースにアクセスできると分かっているアカウントを、圧倒し侵害しようとする意図的な戦略を示しています。これらの事件、そして今後間違いなく起こるであろう事件は、フィッシング攻撃に対する高度な防御の必要性を浮き彫りにしています。攻撃者はますます効率的になり、組織はフィッシングで収集された認証情報に起因するアカウント乗っ取りに苦しんでいます。意思決定者が経営層と現場の従業員を守ろうとするならば、利用者がフィッシングの罠にかかってしまった場合でも、そのIDと、アクセスし管理しているデータが安全に保たれる、強力な防御を備えるべきです。
ゼロトラストの未来へ：フィッシングに強い多要素認証（MFA）ですべての利用者のIDを守る
IDを狙った攻撃は広範に及び、人工知能（AI）や機械学習といった技術によって見破ることがいっそう難しくなっています。こうした現代のサイバー攻撃のリスクを抑えるには、現代的なセキュリティのアプローチが必要です。最高水準のセキュリティ基準を備えたクラウド技術を設計するうえで、組織は強固でフィッシングに強いMFA、ゼロトラスト、そしてパスワードレスがもたらす本質的な利点を取り入れなければなりません。パスワードにはセキュリティ面でも使い勝手の面でも本質的な弱点があることを踏まえれば、ログイン時に利用者がパスワードを入力しなくてよい認証こそが、ゼロトラストと強力なフィッシング防御への道筋です。
PIV／スマートカードは、従来の境界型認証の要件を満たしてきました。しかし、デジタルトランスフォーメーション、クラウドへの移行、ITの近代化、リモートワークの拡大という今日のエコシステムでは、ゼロトラストの原則に沿った、別の高い保証レベルの認証手段が求められます。現代的なFIDO2認証標準は、モバイルとデスクトップの双方の環境で、フィッシングに強い二要素認証・多要素認証・パスワードレス認証を可能にし、オンラインサービスへの認証を容易にします。
YubiKeyは優れた利用体験を提供し、主要なIAM／PAMソリューションとそのまま連携できるほか、DUO、Google Cloud、HYPR、Microsoft Entra ID、Okta Workforce Identity、Ping ID、RSA SecurID Suite、CyberArkといったサードパーティのシステムとも統合できます。またYubicoとMicrosoftはいずれもFIDO Allianceのメンバーであり、FIDO2および証明書ベースの認証標準に基づく、フィッシングに強い認証ソリューションの提供に取り組んでいます。両社は共同で、フィッシングに強い多要素認証（MFA）によってサイバーセキュリティを前進させるための5つのユースケースを定義しています。
フィッシングに強いMFAの価値を最大限に引き出すために、すべての利用者を対象とした安全なオンボーディングとアカウント復旧の戦略を策定してください。パスワードレスへの道のりは大変に思えるかもしれませんが、そうである必要はありません。パスワードレスに至る道は複数あり、パスキーの実装形態によって組織と利用者にとっての得失は異なります。したがって、重要な顧客情報や財務情報を扱い、セキュリティ・コンプライアンス・規模の要件が多岐にわたる組織にとって、パスキーに「唯一の正解」を当てはめる進め方は最適とはいえません。
セキュリティキー上のデバイス紐づけ型パスキーは、より高いセキュリティ保証、より簡単な利用者のオンボーディング、そして認証情報の復旧を実現し、厳格な業界要件への適合を確かなものにするとともに、あらゆる階層の従業員にゼロトラストでフィッシングに強い現代的なMFAによる保護をもたらします。現場の従業員、バックオフィスのスタッフ、エンジニア、そして彼らを率いる経営層に至るまで、すべての人がYubiKeyの備えるゼロトラストでフィッシングに強い現代的なMFAで守られます。
詳細については、Yubicoまでお問い合わせください。YubiKeyによるパスワードレス化の進め方は、Yubicoの関連ページでもご紹介しています。
原文（英語）: 「How businesses can protect the identities of its leaders and employees from the perils of rising sophisticated cyber attacks」 https://www.yubico.com/blog/how-businesses-can-protect-the-identities-of-its-leaders-and-employees-from-the-perils-of-rising-sophisticated-cyber-attacks/
