フィッシングメールを見破れなかった従業員のミス──サイバー被害の原因を語るとき、こうした文脈で語られることが多くあります。しかし、「人が気をつければ防げる」という前提は、AI時代においてすでに崩れはじめています。
AIがフィッシングを「工業化」する時代
生成AIの登場により、フィッシングメールや偽サイトの作成にかかるコストと時間は劇的に下がりました。不自然な日本語、誤字脱字、不審なレイアウト──こうした「怪しさのサイン」は、AIが生成する精巧な文章と画面の前では通用しなくなっています。
さらに、AIエージェントによる自動化が進めば、攻撃者は少人数・低コストで大量の標的に同時攻撃を仕掛けることができます。差出人が上司や経営者に見える偽メール、急ぎの対応を求める偽の業務連絡──普段は慎重な従業員でも、状況によっては判断を誤る可能性があります。従業員教育は引き続き重要ですが、それだけに頼る防衛には限界があります。
「多要素認証を導入済み」でも安心できない理由
SMS認証や認証アプリのワンタイムパスワード（OTP）は、パスワード単独より格段に安全です。しかし、これらはフィッシングに対して脆弱という根本的な弱点があります。
仕組みはシンプルです。攻撃者が本物そっくりの偽ログインページを用意し、従業員がそこへIDとパスワードを入力すると、攻撃者はリアルタイムでそれを本物サイトへ送信します。次にOTPの入力を求め、従業員が6桁のコードを入力すると、攻撃者がそれも即座に本物サイトへ転送──有効期限内に認証を突破されてしまいます。
OTPは「知っている情報」の一種であり、画面越しに伝達される時点でリアルタイム中継攻撃の標的になりえます。
フィッシングを「構造的に」防ぐ：FIDO2・WebAuthn・パスキー
この問題を根本から解決するのが、FIDO2・WebAuthn規格に基づく認証です。その核心は公開鍵暗号方式にあります。
認証の仕組みはこうです。デバイス内に「秘密鍵」と「公開鍵」のペアを生成し、公開鍵だけをサービス側に登録します。ログイン時は、サービスから届いた「チャレンジ（署名要求）」を秘密鍵で署名して返すだけ──パスワードもOTPコードも通信しません。
最大の特徴は、認証がドメインに紐づく点です。たとえ見た目が本物そっくりの偽サイトでも、ドメインが異なれば秘密鍵による署名が一致しないため、認証そのものが成立しません。攻撃者がリアルタイムで中継しようとしても、転用できる情報がそもそも存在しないのです。パスキー（Passkey）もこのFIDO2規格を基盤としており、スマートフォンやハードウェアキーで利用できます。
YubiKey：ハードウェアで守る、最強の「所有」認証
YubicoのYubiKeyは、FIDO2・WebAuthn・パスキーに完全対応したハードウェアセキュリティキーです。秘密鍵はデバイス内の耐タンパー領域に格納され、外部に取り出すことはできません。
- フィッシング耐性：公開鍵暗号方式により、偽サイトへの誘導や中間者攻撃が無効化される
- シンプルな運用：USB端子またはNFCがあれば導入可能。専用カメラや指紋センサーは不要
- 幅広い対応：Google・Microsoft・GitHub・Salesforce・主要SaaSほか、数百のサービスに対応
- 多層防御：万が一パスワードが漏洩しても、物理キーがなければログイン不可
「教育」と「仕組み」、両方が必要な時代へ
重要なのは、強固な認証も「絶対に破られない」保証ではないという点です。目指すべきは、攻撃に必要な時間とコストを引き上げ、犯罪者にとって狙いにくい環境をつくること。従業員教育を続けながら、人が判断を誤っても被害につながりにくい仕組みを整える──その両輪が、AI時代のセキュリティには求められています。
YubiKeyによる耐フィッシングMFAは、その「仕組みの柱」として、多くの企業で採用が進んでいます。
なお、この分野についてYubico Japanコマーシャル営業部部長の大友淳一がジョーシスサイバー地経学研究所（JCGR）のポッドキャストで詳しく解説しています。あわせてお聴きください。
