フィッシング攻撃を“遮断” 物理パスキー「YubiKey」日本で本格展開

Yubicoのハードウェア・セキュリティキー「YubiKey」(ユビキー)シリーズ

スウェーデンのYubico(ユビコ)は、「パスキー」に対応するハードウェアのセキュリティキー「YubiKey」(ユビキー)シリーズなどの製品について、日本市場向けの公式販売チャネルを整備し、販売を強化する。セキュリティキーの価格は5,900円～。12日には報道関係者向けの説明会が開催され、現在脅威が増しているサイバー攻撃への対処を含め、日本市場での戦略が解説された。

YubicoとWPIC Technology Japanが提携し、公式販売チャネルを整備、9月からメーカー保証付きのフルラインナップ18製品を公式オンラインストアで販売開始している。また、Amazon.co.jpでも販売、近日中に楽天市場でも販売を開始する予定。

従来から代理店を通じて法人向けの販売は行なってきたが、コンシューマ向けも強化する。サイバーセキュリティ企業などと連携し、パスキーの認知度を上げる取り組みも行なっていく。

日本で公式販売チャネルを整備する

Yubicoは「パスキー」の基になっている規格「FIDO2/WebAuthn」の共同策定者。2012年頃からGoogleと提携して、初期の認証標準(U2F)を共同開発するなどパスワードレスのログイン標準を牽引してきた。その後MicrosoftやAppleとも連携し、パスキーのOSネイティブ対応を推進。最近ではOpenAIと提携し、ユーザーのワークフローの保護にハードウェア・セキュリティキーを利用できるようにしている。

ハードウェア・セキュリティキーを導入する企業・組織では主に、企業・組織内やサプライチェーン、従業員のログインに利用されているという。

パスキー普及の土台になっているYubicoの活動

近年ではデジタル庁とも協力しパスキーを推進。同庁が策定した最新の本人確認ガイドラインでは、フィッシング耐性必須化の対策としてハードウェア・セキュリティキーが挙げられている。

デジタル庁も最新ガイドラインでハードウェア・セキュリティキーに言及している

フィッシングが進化し多要素認証も危険に

9月以降、日本国内で爆発的に増加しているサイバー攻撃や個人情報の漏えい、その被害の拡大について、Yubico プレジデント兼CEOのジェロッド・チョン氏は「AIの登場で3つのことが可能になった。スピード、規模、高度化で、従来のセキュリティ対策では防げなくなっている。守る側は常に全体が堅牢でなければいけないが、攻撃側は小さな脆弱性を見つければいいだけ。かつては攻撃されないだろうと思われていたシステムも、AIにかかれば危険」と指摘する。

Yubico プレジデント兼CEOのジェロッド・チョン氏

9月以降、日本企業を対象にしたサイバー攻撃が増加。過去にはシンガポールでも同様の攻撃や被害が拡大したとのことで、今後世界に拡大するとみられている

従来から、パスワードログインのセキュリティを補強するものとして多要素認証の導入が進められてきたが、近年は攻撃者がAIを活用、誘導先として構築されるフィッシングサイトも非常に高度化・巧妙化されており、ユーザーの手元に送信されるワンタイムパスワードなども偽サイトに入力させて盗み取る手段などによりセキュリティを突破される例が出ている。

フィッシング攻撃が進化、多要素認証も破られてしまう例。図の(5)→(6)でワンタイムパスワードなども偽サイトに入力させて盗み取り、攻撃者が正規サイトにログインする

「フィッシング攻撃は進化しているが、従来型の多要素認証は進化していない。AIを使った攻撃には対抗できない」とチョン氏は警鐘を鳴らす。

ハードウェア型を含むパスキーは、ロック解除に端末ローカルの認証情報を使用するケースがあるものの、認証はバックグラウンドで自動的に実行される。あらかじめパスキーを登録した正規のWebサイト(のドメイン情報)と一致したときだけ、手元の端末内にある秘密鍵を使って署名されたデータを返す仕組みになっており、正規のWebサイトとユーザーの間でしか使えない。

このため、現在問題になっている一連のフィッシング攻撃の中でパスキーは流れを断つ回路遮断器(サーキットブレーカー)のような役割を果たすという。

YubiKeyのしくみ

堅牢性では現状のベストな選択とする

「入社時にパスワード」がリスクの始まり

このほかYubicoとOktaは8月にグローバルで調査を実施し、企業や従業員のセキュリティの意識が向上している一方で、実践は遅れている実態を明らかにしている。

「入社時にユーザー名とパスワードを受け取る」といった古い慣習や、それを覆せない運営体制が多く残っているほか、アプリケーションごとに分断された認証情報が使われ、それらに同じユーザー名とパスワードを使用するなど、企業の内部でも安全でない状況に陥っているという。組織に対するフィッシング攻撃も認知や実際の被害が増加。従業員用であってもID・パスワードだけの仕組みは危険にさらされている。

共同調査のOkta Japanからも解説された

知っていても実践できていないと指摘

フィッシング攻撃が増加しているという認識。調査は8月時点のため、最近は認知や被害がさらに拡大していると予想される

またAIの進化により、セキュリティの専門家でもAIが生成したフィッシングのメッセージやデザインを見抜けないケースがあり、「従業員の警戒心に依存することはできない」と、昨今のサイバー攻撃は従業員のトレーニングなどでは対抗できないレベルに達していることを指摘している。

日本は、パスワードの利用は世界と同水準にあるものの、多要素認証の利用は44%で、世界の71%を大きく下回る。ハードウェア・セキュリティキーの利用は日本が15%、世界が25%で、普及はこれからという状況になっており、日本でも伸びしろがある領域と位置付けている。

世界との比較。多要素認証の利用は44%で、世界の71%を大きく下回った

チョン氏は「最近はサイバー攻撃のニュースが続き、日本の皆さんは絶望している気分なのではないか。こうした状況を変え、堅牢なパスキーをデフォルトにしていきたい」としたほか、「サービス提供企業にはユーザーを守る責任がある。先を見据えて(最新の対策を)取り入れ、対抗しなければいけない」と堅牢化を訴えた。

日本での活動方針

ポスト量子暗号に対応する製品もベータ版として開発者向けに提供する

Yubicoは企業ユーザーを保護するソリューションとして拡大していく

Yubico プレジデント兼CEOのジェロッド・チョン氏(左)、Yubico Japan コマーシャル営業部 部長の大友淳一氏

対応サービスではパスキーの設定を

パスワード不要のログイン方法として普及が急がれているパスキーは、プラットフォームをまたいで同期できる「Google パスワードマネージャー」のようなソフトウェア型と、YubiKeyのような独立した物理セキュリティキーで実現するハードウェア型がある。Yubicoはハードウェア型のセキュリティキーをベストな選択肢として推進している。

一方、セキュリティキーは紛失した際の復帰に一定の課題があり、Yubicoは、日本国内で豊富に在庫を用意し即応できるサポート体制を整えていく方針。なおYubicoは紛失対策として、あらかじめ2個のセキュリティキーをバンドルする仕組みも提供している。

コンシューマ向けサービスにおいては、パスキーを設定する際にスマートフォンの利用が前提になるなど、ハードウェア型のセキュリティキーを利用しづらいケースは多く、普及はこれからという状況。GoogleやMicrosoftといった比較的重要度の高いサービスでは、ハードウェアのセキュリティキーを利用可能であることがUI上でも案内されており、パスワードでのログインを無効化するといった設定と合わせて利用すれば、セキュリティを高められる。