Salesforceは、ひとつの事実を明確に示しました。従来の認証方式では、もはや十分ではないということです。
Salesforceは2026年6月22日より、まずSandbox環境で多要素認証（MFA）を必須とし、続いて7月1日から本番環境へ段階的に適用することで、従業員ログインのセキュリティ基準を引き上げます。システム管理者をはじめとする高い権限を持つ特権ユーザーに対しては、YubiKeyのようなセキュリティキーや、FIDO2およびWebAuthn規格に対応した組み込み認証機能など、フィッシングに強いMFA方式の利用が求められます。
これは通常のセキュリティ更新にとどまるものではありません。フィッシングに強い認証が、特権アカウントとリスクの高い操作を守るための標準になりつつあるという、業界全体の変化を映し出しています。さらに、その多くがAIによって高度化する巧妙なサイバー脅威に組織が直面するなかで、より強固な本人確認へと向かう大きな流れも示しています。
AIによって、フィッシング攻撃はより速く、より巧妙に、そしてより大規模に展開できるようになりました。高度に洗練されたソーシャルエンジニアリングは、注意深い利用者さえ欺き、パスワードや従来型のMFAを突破します。現在ではフィッシング攻撃の86%がAIを用いたものとなり、IDそのものが攻撃者にとって主要な攻撃対象となっています。
フィッシングに強い強固なセキュリティは、もはや一部の限られた職務のための贅沢品ではありません。企業システムにログインするすべての利用者が、攻撃対象領域の一部を担っているのです。
今回の対応でSalesforceは、SMSコード・TOTPアプリ・プッシュ通知といった、フィッシングやソーシャルエンジニアリング、アカウント復旧を悪用した攻撃に弱い従来型のMFAと、フィッシングに強いMFAとを明確に区別しています。YubiKeyのようなハードウェアに裏付けられたセキュリティキーは、共有シークレットやワンタイムコードではなく暗号学的な証明に基づいて動作するため、より強固な防御を提供します。
フィッシングに強い認証は、従来型のMFAとは根本的に異なります。秘密鍵は物理デバイスの内部にとどまり、攻撃者が遠隔から取り出したり、だまし取ったりするためのソフトウェア経路が存在しません。認証の過程では、利用者本人と、アクセス先が正規のWebサイトであることの双方が検証されるため、認証情報の窃取やアカウント乗っ取りのリスクを大幅に低減します。
Salesforceは、セキュリティキーと組み込み認証機能を、特権ユーザー向けのフィッシングに強い方式として明示的に認めています。従来の認証アプリは、管理者やその他の高権限アカウントについては、この要件を満たしません。
適用開始日が近づいています。業務への影響を避けるため、組織は今から準備を進めることが望まれます。推奨される対応は次のとおりです。
- Salesforceで特権的な権限を持つユーザーを洗い出す。
- 直接ログインとSSO経由のログインの双方について、MFAの設定を確認する。
- 管理者およびパワーユーザーに対して、フィッシングに強い認証方式を有効化する。
- 適用開始前に、主要な認証方式と予備の認証方式の両方を登録する。
- 認証ポリシーを見直し、Salesforceの更新後の要件に適合していることを確認する。
SalesforceアカウントでYubiKeyを有効にする手順は、短時間で簡単に完了します。はじめる前にYubiKey本体をお手元にご用意のうえ、次の手順に従ってください。
- Salesforceアカウントにログインします。
- 画面右上のアバターをクリックし、「設定」または「詳細ユーザー情報」を選択します。
- 「登録：セキュリティキー（U2F/WebAuthn）」の項目を見つけ、「登録」をクリックします。
- 本人確認のため、再度のログインを求められる場合があります。
- YubiKeyを空いているUSBポートに挿し込むか、NFC対応モデルをモバイル端末にかざします。
- YubiKeyのふちのランプが点滅したら、金色のセンサーに触れて、デバイスに紐づく認証情報を生成します。
- 「Primary YubiKey」など識別しやすい名前を入力し、「保存」をクリックします。
業界のベストプラクティスとして、予備のYubiKeyをもう1本登録し、安全な場所に保管しておくことをおすすめします。アカウントにアクセスできなくなるリスクを減らせます。
多くの組織にとって、Salesforceはフィッシングに強い認証が必須となる最初のシステムのひとつになるでしょう。しかし、おそらく最後にはなりません。今から動き出す組織は、コンプライアンス要件を満たすと同時に、次世代のサイバー脅威から利用者・データ・事業運営を守るうえでも有利な立場に立てます。
7月1日の期限を待つ必要はありません。管理者とパワーユーザーに、フィッシング対策の最高水準の保護を今日から備えましょう。
YubiKeyとSalesforceアカウントの連携や、企業のクロスプラットフォーム環境をYubiKeyで保護する方法については、原文記事内のリンクよりYubicoの各ページをご覧ください。
原文（英語）: 「Salesforce enforces MFA for all employee logins: Here's what you need to know」 https://www.yubico.com/blog/salesforce-enforces-mfa-for-all-employee-logins-heres-what-you-need-to-know/
