フィッシングを食い止める: 多要素認証が最善の防御策である理由

By Mirko Peters · 2026-08-12

ポッドキャストブログへようこそ！定期的に聴いてくださっている方はご存じのとおり、当ブログでは ID とアクセス管理について繰り返し取り上げています。最近も、絶対に読んでおくべき…

Automatically translated with AI from the original post. Read the English original

ポッドキャストブログへようこそ。いつもお聴きいただいているリスナーの方なら、私たちがIDとアクセス管理について多く語ってきたことをご存じでしょう。最近、必聴のエピソードLock Down Microsoft Entra ID Before Phishing Hitsを公開しました。まだお聴きでない方は、この解説を読み終えたらぜひ再生リストに入れてください。今回は、そのエピソードの内容をさらに掘り下げます。古い固定パスワードがなぜ役に立たなくなっているのか、多要素認証(MFA)がサイバー犯罪者の攻撃をどのように覆せるのか、そして今すぐ Microsoft Entra ID 環境を保護するために何をすべきかを詳しく解説します。

従来のパスワードだけでは不十分な理由

はっきり言いましょう。従来のパスワードは終わったのです。技術的にはまだ混乱を引き起こし続けていますが、セキュリティの連鎖の中で最も弱い環境であることは明らかです。何十年もの間、私たちは複雑な文字、数字、記号の組み合わせでデジタルライフを守ってきました。ユーザーには覚えきれない組み合わせを求め、90日ごとに変更させ、決して紙に書き留めないよう求めてきました。当然ながら、人間の心理はそれに反発しました。個人アカウントと業務アカウントで同じパスワードを使い回したり、付箋に書き留めたり、基本的なスクリプトで数秒で解読できるほど予測しやすい派生形を作ったりするようになったのです。

ソーシャルエンジニアリングやフィッシングの方が はるかに簡単になった今、サイバー犯罪者がパスワードの総当たり攻撃でCPUサイクルを浪費する必要はなくなりました。フィッシング攻撃は、初期の2000年代の不格好で誤字だらけのメールから大きく進化しています。今日の攻撃者は、高度な手口、複雑な経路設定、中間者型攻撃(AiTM)のフレームワークを使い、リアルタイムで認証情報を盗み取ります。従業員が本物そっくりのログインページに自分のパスワードを入力してしまえば、攻撃者は瞬時に王国の鍵を手に入れてしまいます。パスワードだけに頼ることは、玄関を一本の紐で施錠するようなものです。正直な人は締め出せるかもしれませんが、悪意を持つ者は簡単に突破してしまいます。

多要素認証はアカウント侵害の試行の99%以上を阻止する

パスワードが破られたら、どう対処すればよいのでしょうか。そこで登場するのが多要素認証(MFA)です。ユーザーに異なる2つ以上の要素で本人確認を求めることで、MFAは攻撃者にとっての前提を根本から変えます。フィッシング攻撃者がユーザーのパスワードを盗み出しても、システムが第2の要素を要求した時点で行き詰まります。

データがすべてを物語っています。包括的なセキュリティ調査では、堅牢なMFAを導入することでアカウント侵害の試行の99%以上を阻止できることが一貫して示されています。少しこのことを考えてみてください。MFAを有効にするだけで、自動化された攻撃や標的型攻撃の大半を一夜にして排除できるのです。MFAは通常、知識要素(パスワード)、所持要素(スマートフォンやハードウェアトークン)、生体要素(指紋や顔認証)の組み合わせに依存しています。Microsoft Entra ID のようなプラットフォームで正しく構成すれば、MFAはセキュリティ態勢を、攻撃に対して無防備な状態から堅固な城へと変えてくれます。

FIDO2キーなど、フィッシングに強い認証方式の検討

すべてのMFAが同じというわけではありません。プッシュ通知やSMSのテキストコードは、パスワードだけに比べれば格段に優れていますが、MFA疲労攻撃や高度な中間者型フィッシングといった巧妙な攻撃にはなお弱点があります。そこで活躍するのが、フィッシングに強い認証方式です。

FIDO2セキュリティキーや証明書ベース認証(CBA)など、フィッシングに強いMFA方式は、認証セッションをアクセス先のWebサイトやサービスの特定のオリジンに紐付けます。ユーザーがだまされて偽のフィッシングログインサイトにアクセスしてしまっても、ドメインが一致しないためFIDO2キーは認証情報を提供しません。キーは接続先が偽物であることを認識し、協力を拒否します。YubiKeyのようなハードウェアキーを導入したり、Windows Hello for Businessのようなプラットフォーム認証機能を活用したりすることで、ユーザーが現存する最も巧妙なフィッシングキャンペーンの標的になっても、攻撃者は何も得られずに立ち去ることになります。

最新の脅威から Microsoft Entra ID を守る

組織のセキュリティは、MFA を有効にするだけでは十分ではありません。Microsoft Entra ID に組み込まれた高度なセキュリティ機能を活用した、包括的な戦略が必要です。フィッシングを確実に防ぐには、多層防御の仕組みを構築する必要があります。

まず、リスクベースの条件付きアクセス ポリシーを構成します。これらのポリシーは、ユーザー ID、デバイスのコンプライアンス状態、場所、サインインの動作といったシグナルをリアルタイムで評価します。見慣れない国や管理されていないデバイスからユーザーがサインインした場合、Entra ID は MFA を要求するか、アクセス試行そのものをブロックして、自動的にセキュリティを強化できます。次に、Privileged Identity Management (PIM) を確認し、常時付与された管理者権限をなくします。ジャスト インタイム アクセスを適用することで、管理者は必要なときにだけ、しかも厳密に制限された時間だけ昇格した権限を得られます。これに継続的アクセス評価 (CAE) を組み合わせれば、脅威が検出された時点で即座にトークンを取り消せます。リスクに動的に適応する環境を構築できるのです。

まとめ

脅威の状況はかつてないほど速いペースで変化していますが、打つ手がないわけではありません。脆弱な従来のパスワードから離れ、フィッシングに強い堅牢な多要素認証へ移行すれば、大半のサイバー攻撃を確実に防げます。Microsoft Entra ID を保護するには、継続的な警戒と、条件付きアクセスや PIM などの最新ツール、そして継続的な改善への取り組みが欠かせません。ID 基盤を守るための実践的な手順をさらに深く知りたい場合は、関連するポッドキャストのエピソードもぜひお聴きください: Lock Down Microsoft Entra ID Before Phishing Hits。引き続きセキュリティを意識し、ユーザーへの教育を続けてください。それでは、次のエピソードでお会いしましょう!