不正ログイン対策｜会員・社員アカウントの乗っ取りを防ぐ認証・検知・初動

不正ログイン対策は、多要素認証とログイン試行の制限で入られにくくし、ログイン記録で異常に気づき、入られたらセッションまで失効させることだ。

この記事は、企業が会員や社員のアカウントを守る側の対策を、会員サイトと社員の業務アカウントに分けて扱う。

不正ログインの原因とリスト型攻撃の仕組み

不正ログインの主な原因は、攻撃者の手に渡った正しいIDとパスワードだ。国家公安委員会・総務省・経済産業省の令和6年の統計では、検挙された不正アクセス行為533件のうち511件が、他人のIDとパスワードを入力する「識別符号窃用型」だった。

パスワードの使い回しを狙うリスト型攻撃

リスト型攻撃は、別のサービスから漏れたIDとパスワードの組み合わせを、他のサイトのログイン画面で順に試す手口だ。総務省は2013年の対策集「リスト型アカウントハッキングによる不正ログインへの対応方策について」で、利用者の約7割が3種類以下のパスワードを使い回すという民間の調査を引いている。

同じ対策集では、被害を公表した8社の数値からIPAが算出した成立率は0.15〜1.35%、試行は約1万1千〜1,550万件だった。試行が数百万件の2社では、成立率1%未満でも成立は約8千件と約3万5千件だった。

社員のアカウントも同じ理由で狙われる。

推測・総当たり、フィッシング、盗まれたログイン状態による乗っ取り

パスワードスプレーは、推測しやすいパスワード1つを多数のアカウントに試す手口だ。1アカウントあたりの試行が少なく、アカウントごとの失敗回数では気づきにくい。

フィッシングでは、偽のログイン画面にIDとパスワードだけでなく、認証アプリの6桁のコードまで入力させる例を米国のCISAが挙げ、コードを入力する方式はこれに弱いとしている。

もう1つは、ログイン後にブラウザが保存するセッションCookieを、端末に入り込んだマルウェアが盗む手口だ。MITRE ATT&CKによれば、攻撃者は認証情報なしにログイン済みの利用者としてWebサービスを使え、一部の多要素認証も回避できる。盗まれたセッションCookieは、有効なうちはログイン画面の対策を通らずに使われる。止めるにはセッションの失効が要る。

会員・社員アカウントの不正ログイン対策：多要素認証と試行の制限

会員サイトの不正ログイン対策は、使いやすさを保ちつつ試行の制限と追加の認証を組み合わせる。社員アカウントでは、業務で使うクラウドサービスの全員に多要素認証を必須にする。社員には社内の規則で必須にできるからだ。

会員サイトの対策：試行の制限・多要素認証・通知

NISTの『デジタルアイデンティティガイドライン：認証』は、同じ認証手段での連続した失敗を100回以下に制限するよう求めている。OWASPの『認証チートシート』は、失敗をアカウントごとに数え、わざと失敗を重ねて他人のアカウントを止められる点に注意を促している。

リスト型攻撃には1つのIDへの試行が1、2回のものもあり、ロックだけでは止まらない。総務省の対策集は、同じ接続元から多数のアカウントへの要求が一定数を超えたら遮断する方法を挙げ、IPアドレスを共有する正規の会員まで遮断しうるとも注意している。

会員全員に必須にしにくい場合、新しい端末、いつもと違う場所、匿名化サービスからのログインのときだけ追加の認証を求める方法を、OWASPの『リスト型攻撃防止チートシート』は挙げている。

登録時のパスワードは、漏えいしたものや推測しやすいものの一覧と照合する。総務省の2013年の対策集は定期的な変更を勧めていたが、NISTの2025年のガイドラインは定期的な変更の強制を禁じ、漏えいの証拠がある場合に変更させるとしている。

ログインのたびに登録メールアドレスへ通知し、前回のログイン日時を画面に出す方法も総務省は挙げている。事業者が気づきにくい少数の不正ログインも、会員の連絡で見つかる。

社員アカウントの対策：多要素認証の必須化と例外の洗い出し

CISAは、メールやファイル共有を含む全利用者・全サービスに多要素認証を導入するよう求め、システム管理者など権限の大きいアカウントから、FIDO・WebAuthn方式のようなフィッシングに強い方式へ移すよう勧めている。方式ごとの評価は次のとおりだ。

必須にしても残りやすい例外を洗い出す。

• 部署やシステムで共用しているアカウント
• 退職者・異動者のアカウントと、外部委託先に発行したアカウント
• 多要素認証に対応していない古いシステムや接続方式

多要素認証に対応しないシステムは、改修か移行の計画を立て、残るリスクを経営層に報告するようCISAは勧めている。

クラウドの管理用のIDを退職・異動や委託の終了のときに確かめる手順は、AWSを例にIAM権限の棚卸しの記事にまとめている。

不正ログインの検知方法とログイン記録の確認

不正ログインの確認には、ログインの成功・失敗の記録と、ログイン後の設定変更の記録の両方を使う。総務省の対策集によれば、公表された事案は、利用者からの「ログインできない」という連絡、大量のアクセスエラー、特定のIPアドレスからの不正なログインで見つかっていた。

ログイン記録で見る失敗の急増と普段と違う接続元

ログイン記録では、次の形を探す。

感染した多数の機器から攻撃が来ると接続元が分散し、検知が難しくなると総務省は注意している。その場合はサイト全体の失敗件数と成功率の変化を見るとよいと我々は考える。

入られた後の痕跡：登録情報・転送設定の変更

ログインの成功だけでは不正か決めにくいので、ログインの直後に何が変えられたかを操作の記録で確かめる。

会員サイトでは、メールアドレス・電話番号・配送先・決済手段の変更、ポイントの利用や購入を見る。令和6年には、不正アクセス後の行為としてインターネットショッピングでの不正購入の認知件数が180件あった。

社員のクラウドメールでは、自動転送の設定と多要素認証の端末の登録を見る。MITRE ATT&CKは、攻撃者がメールの転送設定を作ると、管理者がパスワードを変えた後もメールを読み続けられると説明している。攻撃者が自分の端末を多要素認証用に登録する手口もある。

不正ログインされたら行う初動：セッション失効と被害範囲の調査

不正ログインされたら、記録を残し、パスワードの変更とセッションの失効でアカウントを止め、被害の範囲を調べる。パスワードを変えても、攻撃者が作った転送設定は残り、セッションも作りによっては使え続ける。

パスワード変更だけで終わらせないセッションの失効

OWASPの『アプリケーションセキュリティ検証標準』は、レベル2以上で、パスワード変更後に他の全セッションを終了できること、有効なセッションと端末を利用者が確認してログアウトできることを求めている。

止める順番は次のとおりだ。

被害範囲の調査と、社内外への連絡の順番

被害の範囲は、ログイン記録で攻撃者の接続元を特定し、同じ接続元から入られた他のアカウントと、ログイン後に閲覧・変更・送信された情報を洗い出して決める。

会員の個人情報が見られたおそれがあれば、個人情報保護委員会への報告を判断する。不正アクセスによる漏えいは、漏えいのおそれの段階でも、人数にかかわらず報告の対象になる。速報は発覚から3〜5日以内、確報は不正の目的によるおそれがある場合は60日以内だ。社員のメールが使われたら、なりすましメールを受け取ったおそれのある取引先に連絡する。警察へは、警察庁のオンライン窓口から都道府県警察に通報・相談できる。

多要素認証の例外、試行の制限、ログイン記録に接続元と設定変更が残るかは、会員サイトと社員アカウントで先に確かめておく。

不正ログイン対策を個別に詳しく

• インフォスティーラーの感染確認方法｜盗まれたログイン状態での乗っ取りとセッション失効：インフォスティーラー感染の確認方法を、端末の隔離、検知履歴とソフト・拡張機能の照合、感染の時点からのサインイン記録の遡りの順に説明する。盗まれたCookieで多要素認証を経ずに入られる条件と、層ごとのセッション失効も扱う。