近年、パスワードに代わる認証手段として「パスキー」の普及が進んでいる。
パスキーはフィッシングに強く、パスワード漏えいのリスクも大幅に低減できることから、多くのセキュリティ専門家が次世代認証の本命と位置付けている。
しかし、今回報告された「VaultJacking」と呼ばれる攻撃手法は、その安心感に一つの重要な問いを投げかけている。
研究者らによると、Google Password Managerに保存されたパスワードやパスキーは、利用者が設定した6桁のPINをフィッシングサイト上で入力してしまうことで、攻撃者に取得される可能性があるという。攻撃者はそのPINを利用して自身の端末を利用者のGoogleアカウントに紐付けられた信頼済み端末として登録し、保存された認証情報を取得する。

このニュースを見て、「パスキーは危険なのか」と感じた人もいるかもしれない。
今回狙われているのはパスキーそのものではなく、パスキーを保管し同期する仕組みである。パスキーは本来、Webサイトごとに暗号学的に保護されており、従来のパスワードのように簡単に盗み出すことはできない。今回の攻撃も、認証技術そのものを破ったわけではない。

攻撃者は、一つひとつの認証情報を盗むのではなく、それらを保管している「金庫」を開けようとしたのである。

これは近年のサイバー攻撃全体に共通する傾向ともいえる。攻撃者は個別のシステムや認証を突破するよりも、信頼の集約点を狙うようになっている。認証基盤、クラウド同期、ブラウザ同期、ID管理システムは利用者の利便性を高める一方で、一度突破された場合の影響範囲が極めて大きい。

金融犯罪対策の世界でも同様の変化が起きている。かつて攻撃者は個別口座の認証情報を狙っていた。しかし現在は、本人確認の仕組みや認証基盤そのものを悪用することで、より大きな成果を得ようとしている。攻撃者は「一件の不正送金」ではなく、「不正送金が可能になる仕組み」を探しているのである。

今回のVaultJackingも同じ構図だ。一つのサービスにログインするための情報ではなく、利用者が持つあらゆる認証情報への入り口が狙われている。重要なのは、「どの認証方式が最強か」という議論だけではない。

認証情報がどこに保存され、どのように同期され、どのような条件で新しい端末が信頼されるのかという、認証を支える仕組み全体を理解する視点である。サイバー攻撃は常に最も弱い場所を探す。パスワードが弱ければパスワードを狙う。認証が強化されれば認証基盤を狙う。そして認証基盤が強化されれば、その周辺にある運用や利用者行動を狙う。

今回のニュースは、パスキー時代になってもフィッシングが終わるわけではないことを示している。攻撃者が狙う対象は変わっても、「人の信頼を悪用する」という本質は変わらない。私たちが向き合うべき課題は、認証方式そのものだけではなく、その背後にある信頼の構造全体なのかもしれない。

＜参考＞
gbhackers.