2FAを使用していますか？素晴らしいですが、完璧ではありません。

利用可能な場合は、二段階認証を使用するべきです。完璧ではありませんが、ほとんどの攻撃者を阻止します。しかし、それが無敵であると考えるのは誤りです。それは真実ではありません。

パスワードの問題

パスワードは1950年代からコンピューターアカウントを保護するための主な手段でした。70年余りが経過した今、私たちは主にオンラインサービスのためにパスワードに圧倒されています。興味があって、私のパスワードマネージャーをチェックしてみました。その中には220セットのログイン認証情報が保存されています。

特別に才能がない限り、その数の複雑で強力なパスワードを暗記することは不可能です。だからこそ、人々はパスワードを使い回したり、簡単に覚えられるが弱いパスワードを使用したりします。当然、それはあなたのアカウントを侵害の危険にさらす行動の一種です。

自動化されたブルートフォース攻撃、辞書攻撃、その他のルックアップ攻撃は、単語のリストや侵害されたパスワードのデータベースを使用して、人々のアカウントに不正アクセスしようとします。データ侵害が発生するたびに、そのデータはサイバー犯罪者による利用のためにダークウェブで公開されます。彼らは侵害されたパスワードのデータベースを自らのソフトウェアの弾薬として使用します。それは盗まれた資格情報をアカウントに機関銃のように投入し、パスワードを一致させアクセスを試みます。

Have I Been Pwnedのウェブサイトは、できる限り多くのデータ侵害からデータを収集しています。あなたは自由にサイトを訪れて、自分のメールアドレスやパスワードが侵害されているかどうかを確認できます。この問題の規模を理解するために、彼らのデータベースには110億件以上の認証情報があることをお伝えします。

そんなに多くのパスワードがあると、他の誰かがあなたと同じパスワードを選んでいる可能性が高いです。したがって、あなたのデータが侵害されたことがなくても、あなたと同じパスワードを使用している他の誰かのデータが侵害されている可能性は十分にあります。また、異なるアカウントで同じパスワードを使用している場合、それらすべてが危険にさらされます。

パスワードポリシー

すべての組織は、パスワードの作成と使用に関するガイダンスを提供するパスワードポリシーを持つべきです。たとえば、パスワードの最小長を定義し、パスワードの構成に関するルールをすべてのスタッフが理解し、遵守できるよう明確に示す必要があります。また、ポリシーでは他のアカウントでのパスワードの再使用を禁じ、ペットや家族の名前、記念日、誕生日に基づいたパスワードの使用を禁止しなければなりません。

あなたが抱えている問題は、どのようにそれを監視するかということです。スタッフがこれらのルールに従っているかどうかどうやって知るのでしょうか？多くのシステムで最低限の複雑さのルールを設定することができるので、短すぎるパスワードや数字や記号を含まないパスワード、辞書に載っている単語を自動的に拒否します。それは助けになります。しかし、誰かが自社のアカウントのパスワードをAmazonやTwitterのパスワードとして使った場合はどうなりますか？あなたには知る方法がありません。

二要素認証を使用することで、企業アカウントのセキュリティが向上し、パスワード管理が不十分な場合にも一定の保護が提供されます。

二要素認証

二要素認証は、パスワード保護されたアカウントに別の保護層を追加します。IDとパスワードに加えて、登録された物理的なオブジェクトへのアクセスが必要です。これらは、ハードウェアドングルまたは承認された認証アプリを使用しているスマートフォンのいずれかです。

ワンタイムコードは、スマートフォンの認証アプリによって生成されます。アカウントにサインインする際には、そのコードとパスワードを入力する必要があります。ドングルはUSBポートに接続できるか、Bluetoothを使用することがあります。それらはコードを表示するか、秘密の内部値に基づいてキーを生成して送信します。

二要素認証は、あなたが知っているもの（あなたの認証情報）と、あなたが所有しているもの（スマートフォンまたはドングル）を組み合わせます。だから、誰かがあなたのパスワードを推測したり、強引に解読しても、アカウントにログインすることはできません。

二要素認証の妥協

攻撃者が二要素認証を突破し、保護されたアカウントにアクセスする方法はいくつかあります。これらの技術の一部は、エリートな技術能力とかなりのリソースを必要とします。例えば、信号システム第7号プロトコル（SS7）の脆弱性を悪用する攻撃は、通常、装備の整った高度なスキルを持つハッキンググループや国家に支援された攻撃者によって行われます。SS7は、SMSテキストメッセージを含む電話に基づく通信を確立し、切断するために使用されます。

このレベルの脅威行為者の注意を引くためには、ターゲットは非常に高い価値を持つ必要があります。「高い価値」は攻撃者によって異なる意味を持ちます。報酬は単純な金銭的なものでない場合もあり、攻撃は政治的な動機から行われることもありますし、産業スパイ活動の一環である可能性もあります。

「ポートアウト詐欺」では、サイバー犯罪者があなたの携帯電話会社に連絡し、あなたになりすまします。十分に練習を重ねた脅威のある行為者は、担当者を説得して、あなたのアカウントの所有者であると納得させることができます。彼らはその後、あなたのスマートフォン番号を彼らがアクセスできる別のスマートフォンに移すことができます。 SMSを使用した通信は、あなたのものではなく、彼らのスマートフォンに送信されます。つまり、SMSによる二要素認証コードはサイバー犯罪者に届けられるということです。

携帯キャリアの従業員を操るためにソーシャルエンジニアリング技術を使うのは簡単ではありません。はるかに簡単な方法は、オンラインビジネステキストメッセージングサービスを利用することです。これらは、組織がSMSリマインダー、アカウントアラート、マーケティングキャンペーンを送信するために使用されます。しかも、とても安価です。約15ドルで、あるサービスを利用すれば、一つのスマートフォン番号から別の番号へのすべてのSMSトラフィックを1ヶ月間転送してくれます。

もちろん、両方のスマートフォンを所有するか、所有者の許可を得るべきですが、それはサイバー犯罪者にとって問題ではありません。そうであるかどうか尋ねられた場合、彼らがする必要があるのは「はい」と言うだけです。それ以上の確認はありません。攻撃者に必要なスキルはゼロであり、それでもあなたのスマートフォンは侵害されています。

これらのタイプの攻撃はすべてSMSベースの二要素認証に焦点を当てています。同様にアプリベースの二要素認証を回避する攻撃もあります。脅威のアクターは、メールフィッシングキャンペーンを展開したり、タイポスコッティングを利用して、説得力のあるが詐欺的なログインページに人々を誘導することがあります。

被害者がログインしようとすると、IDとパスワード、さらに二要素認証コードの入力を求められます。認証コードを入力すると、その認証情報が自動的に本物のウェブサイトのログインページに転送され、被害者のアカウントにアクセスするために使用されます。

使い続けてください!

二要素認証は、技術的に高度なものから比較的単純なものまで、さまざまな手法で突破される可能性があります。それにもかかわらず、二要素認証は依然として推奨されるセキュリティ対策であり、提供される場所では採用されるべきです。これらの攻撃があっても、二要素認証は単純なIDおよびパスワードの方式よりもはるかに安全です。