ネットセキュリティニュース

◆連日ばらまかれている宅配便「偽不在通知」に新たな動き――「DNS設定改ざん」攻撃でスマホ情報漏えいの恐れ（2019/02/26）

　宅配便の不在通知を装うSMSのばらまきが、相変わらず続いている。本物そっくりの偽サイトに誘導し、マルウェア感染やフィッシングを仕掛けてくる攻撃だ。その攻撃に使われている紛らわしいドメインを使った、新たな攻撃（DNS設定改ざん）の動きがある。

■連日続く佐川急便を装う偽の不在通知SMS

　「お客様宛にお荷物のお届けにあがりましたが不在の為持ち帰りました。下記よりご確認ください。」というSMSが連日ばらまかれている。Android端末でアクセスすると、偽の「宅急便」アプリ（sagawa.apk）をインストールさせようとし、iPhoneなどのiOS端末でアクセスすると、Apple IDを騙し取るフィッシングを仕掛ける。

　騙されて偽アプリをインストールしてしまう人が後を絶たず、「連絡先などの端末内の情報を盗まれる」、「偽の不在通知SMSを勝手に送信される」、「キャリア決済が使い込まれる」などの被害が報告されている。

　一連の攻撃は、2017年12月から断続的に観測されていたが、2018年7月、偽アプリがインストールされたAndroid端末が不在通知を装うSMSを一斉に送信するようになり、激化した。8月には、誘導先にiPhone用のフィッシングサイトが用意され、その後しばらく小康状態が続いたが、10月から再びSMSのばらまきが増加し現在に至っている。

■偽佐川ドメインに「DNS設定改ざん攻撃」用のコンテンツ出現

　SMSの誘導先には、主に「sagawa-●●●.com」（●●●は数文字の英字）という形式のドメイン（インターネット上の名前）が使われているが、今月14日からは過去に使用したドメインに、これまでの攻撃とは違うコンテンツが出現した。昨年3月、無線LAN（Wi-Fi）ルーターのDNS設定が書き換えられ、Android用の不正なアプリをダウンロードさせようとする問題が国内で発生し問題になったが、その時に使われたコンテンツが偽佐川急便のドメインに仕掛けられたのだ。

●「DNS設定改ざん攻撃」とは？

　DNS（Domain Name System：ディーエヌエス）は、アクセス先の名前を実際の通信で使用する住所にあたるIPアドレスに変換する「名前解決」などの機能を提供している。ルーターには、どこに問い合わせるのかというDNS情報が設定されている。この問い合わせ先を、攻撃者が用意したサーバーに書き換えられてしまうと、端末をどこに接続させるかが攻撃者の意のままになる。正規サイトの名前の問い合わせに対し、嘘の住所を教えられると、正しいURLで偽サイトへと誘導されてしまう。

●偽佐川急便のドメインに仕掛けられたコンテンツとは？

　偽佐川急便のドメインに仕掛けられたのは、その誘導先となる偽サイトのコンテンツで、日本語を含む27か国語に対応したもの。Android端末でアクセスすると、「Facebook拡張ツールバッグを取付て安全性及び使用流暢性を向上します。」と表示し、偽の「Facebook」アプリ（facebook1.0.23.apk）をインストールさせようとする。このコンテンツには、他の端末用に仮想通貨のマイニング機能も用意されているが、現時点では、動作しないようになっていた。

　iPhoneなどのiOS端末用には、Appleのフィッシングサイトに誘導する仕組みが用意されており、攻撃者のDNS設定でアクセスした場合には、アップルのフィッシングサイトに誘導されるとみられる。

▲DNS設定改ざん攻撃用のコンテンツ：Android端末でアクセスした場合（左）、iPhoneでアクセスした場合（右）

　これらの一連の攻撃については、カスペルスキー公式ブログの以下の記事に詳しい。

＜参考URL：カスペルスキー公式ブログ＞
・ルーターのDNS改竄によりダウンロードされる「facebook.apk」の内部構造を読み解く
https://blog.kaspersky.co.jp/malicious-facebook-apk/19968/
・DNS設定を乗っ取りAndroidデバイスに感染するRoaming Mantis
https://blog.kaspersky.co.jp/roaming-mantis/20105/
・Roaming Mantis続報：さらなる多言語化、フィッシング、そしてマイニング
https://blog.kaspersky.co.jp/roaming-mantis-update/20383/
・Roaming Mantis：iOSでの仮想通貨マイニングと、悪意あるコンテンツ配信システムを介した拡散
https://blog.kaspersky.co.jp/roaming-mantis-new-methods/21749/

■騙されてインストールすると、端末内から外部に情報漏えい

　一連の攻撃に使われているAndroid用の偽アプリを、カスペルスキーでは「Roaming Mantis」と呼んでおり、前掲のカスペルスキー公式ブログの記事「Roaming Mantis：iOSでの仮想通貨マイニングと、悪意あるコンテンツ配信システムを介した拡散」では、「タイプA」と「タイプB」の2種類のRoaming Mantisを紹介している。

　前述の「Facebook」アプリ（facebook1.0.23.apk）はタイプA、佐川急便の偽サイトで最近ばらまかれていた「宅急便」アプリ（sagawa.apk）はタイプBだ。14日以降は、SMSの誘導先にタイプAの「宅急便」アプリをばらまく偽サイトも出現している。

　どちらも、感染すると端末内から連絡先のデータなどを外部に送信する機能やSMSを監視する機能を有しているという。くれぐれも騙されてインストールしないよう注意していただきたい。

■対策１：公式サイト以外でアプリをインストールしない

　標準設定のAndroid端末は、公式ストア以外の場所で配布されているアプリのインストールをブロックするようになっている。以前に許可し、そのままになっている場合や、この偽サイトの指示に従って操作し、許可してしまわなければ、勝手にインストールされるようなことはない。

●公式サイト以外のアプリをインストール不可とする方法

　Android 8.0より前のシステムの場合は、[設定]アイコンから[セキュリティ]などのメニューにある[提供元不明のアプリ]の「インストールを許可する」を確認しよう。もしオンになっていたら必ずオフにしておく。

　Android 8.0以降のシステムは、アプリごとにインストールの許可を与える。[設定]アイコンから[アプリと通知]などのメニューに進み、[特別なアプリアクセス]→[不明なアプリのインストール]をタップすると、インストールを行う可能性のあるアプリが一覧表示される。[許可]になっているアプリがあったらタップし、[この提供元のアプリを許可]や[この提供元のアプリを信頼する] をオフにする。Webサイトからのダウンロードは、使用しているChromeなどのブラウザが行うので、必ずオフにしておこう。

■対策２：インストールしてしまったアプリはアンインストールする

　偽アプリを誤ってインストールしてしまった場合には、通信を強制停止し、インストールしてしまったアプリをアンインストールする必要がある。

●通信を強制停止し、アプリをアンインストールする方法

　スマホは、「機内モード」にすると通信機能が全てオフになるので、データ通信やSMSの送受信、電話の着信などが全て停止する。アンインストールは、[設定]アイコンから[アプリと通知]などのアプリ関連メニューに進み、全てのアプリ情報を表示、アプリをタップすると、アンインストールが選択できる。

■対策３：「DNS設定改ざん攻撃」に備える

　DNS設定改ざん攻撃用のコンテンツがインターネット上で確認されたが、実際に改ざん攻撃が行われているかどうかは不明だ。起こり得るさまざまな攻撃には、下記記事の「IoT機器の安全対策：ルーターを守る４つのポイント」が対策になるのでぜひ実施していただきたい。

・ネット接続機器への「一斉調査」始まる――家庭のIoT機器をサイバー攻撃から守る「４つのポイント」

（2019/02/26 ネットセキュリティニュース）

TEXT：現代フォーラム／鈴木直美

◆アドビ、深刻な脆弱性を再修正したAcrobat Readerの最新版公開（2019/02/22）

　アドビシステムズは22日、PDF閲覧ソフト「Acrobat Reader」の最新版を公開した。今月12日に公開したアップデートでは、修正が不十分だったため、再修正したという。

■修正の内容

　問題の脆弱性は（CVE-2019-7089）は、細工したPDFファイルを開くとハッシュ化されたパスワードが漏えいする可能性があるとういうもの。12日のアップデートで修正したものの、回避作があるとの報告を受けたため、再修正したという。

　脆弱性の緊急度は、3段階で最も高い「クリティカル」、優先度は3段階で2番目に高い「2」。これは、過去に攻撃リスクが高いとされたことのあるタイプの脆弱性の修正ではあるが、現時点で攻撃対象になっているとの報告はなく、過去の実績から今後悪用される可能性は低いことを示している。例えば30日以内といった、短期の間にアップデートすることが推奨されている。

　アップデートの対象となるのは、Windows版とMac版のAcrobat Reader DCおよびWindows版のAcrobat Reader DC 2017（Classic 2017）、Acrobat Reader DC（Classic 2015）。　更新後のバージョンは、Acrobat Reader DCが「2019.010.20098」に、Acrobat Reader DC 2017（Classic 2017）が「2017.011.30127」に、Acrobat Reader DC（Classic 2015）が「2015.006.30482」になる。

 

■バージョンの確認と更新

　現在使用しているバージョンは、Acrobat Readerを起動し、[ヘルプ]メニューの[Adobe AcrobatReader DCについて（または Acrobat Reader 2017について）]で確認できる。　最新版への更新は、[ヘルプ]メニューの[アップデートの有無をチェック]から実行できるほか、同社のサイトから最新のAcrobat Reader DCをダウンロードすることもできる。

 

・Security Updates available for Adobe Acrobat and Reader | APSB19-13[英文]（アドビ）

https://helpx.adobe.com/security/products/acrobat/apsb19-13.html

（2019/02/22  ネットセキュリティニュース）

TEXT：現代フォーラム

◆クレジットカード情報の不正利用高止まり、「スマホ決済」悪用急増――ユーザーにできる対策は？（2019/02/22）

　2017年に跳ね上がったクレジットカードの不正利用被害が高止まりしている。スマホ決済サービスの台頭で、店頭で不正利用される被害も相次いでいる。不正利用の監視体制や補償も行き届いているが、面倒には巻き込まれないのが一番だ。ユーザーにできる対策を知っておこう。

 

■クレジットカード番号盗用による被害は131.8億円

　日本クレジットカード協会がまとめた2018年1月から9月までのクレジットカードの番号盗用による被害は131.8億円（前年同期130.3億円）と、増加傾向にある。2017年に前年の1.7倍に被害額が跳ね上がって以来の高止まりで、不正利用被害全体の約8割を番号盗用による被害が占めている。その背景には、ネット通販の利用者拡大と相次ぐ情報流出、詐欺サイトやフィッシングなどが考えられる。

▼クレジットカード番号盗用被害額推移（単位：億円）

　出典：クレジットカード不正利用被害の集計結果について[PDF]（日本クレジット協会）
https://www.j-credit.or.jp/download/news20181228b.pdf

 

■「通販サイト」からの流出――偽の決済画面を仕掛けるケースも

　ネット通販では、攻撃を受けてサイトに保存されていたクレカ情報が流出する事例が多いが、最近は、サイトが改ざんされ偽の決済画面に移動する仕掛けが埋め込まれる事例が見られるようになった。下記は不正アクセスによる情報流出の事例を紹介した記事だが、両方のケースを紹介している。

・不正アクセスによる情報流出相次ぐ――クレジットカードの不正利用被害も発生

●対策：「身に覚えのない請求」の早期発見に注力を

　どちらのケースでもユーザー側での対策は難しいので、カード会社の明細を必ず確認し、身に覚えのない請求の早期発見に努めたい。見つかった場合には、速やかにカード会社に連絡し指示を仰ごう。

　なお、下記の記事では「不正利用に気づいたときの対処方法」として「警察に被害届を出しましょう」と書かれているが、このようなケースでは、利用者に被害が及んでいないため、被害届を出すことはできない（情報提供は可能）。早まったことはせず、カード会社の指示に従い、落ち着いて行動していただきたい。

・クレジットカードの番号を悪用されないためには？ネット通販利用時の注意点

　流出したとの連絡を受けた場合も同様、身に覚えのない請求の確認に注力していただきたい。慌てなくても、通販会社やカード会社が万全の態勢で対処し、不正利用の全額補償と、必要があれば無償でカードを再発行してくれる。

 

■「詐欺サイト」からの流出――“安さ”で引っ張る手口に注意

　通販サイトになりすまして、クレジットカード情報を騙し取る詐欺サイトがある。多くの場合、検索サイトで商品を検索し、安さにつられて購入しようとすると、この手のクレカ情報を騙し取る詐欺サイトや、代金を騙し取る詐欺サイトにおびき寄せられてしまうので注意したい。通販系には、いろいろなタイプの詐欺サイトがあるが、大筋は同じだ。

●対策：サイトの“怪しさ”を見抜くポイント

　詐欺サイトを見抜く方法としては、次の記事の「トラブルにあわないためのチェックポイント」が参考になるだろう。「チェックポイント1」に記載されている「サイト内の情報を確認する」だけでも、販売サイトとしての怪しさをチェックできるはずだ。

・「商品が届かない」「偽物が届いた」――冬季に多発する悪質通販サイトに注意

■「フィッシング」による流出――偽会員サイトや大手サービス成りすまし

　クレジットカード会社を装い、偽の会員サイトに誘導してクレカ情報などを騙し取るフィッシングが、2016年ごろから急増した。昨年はさらに急増し、前年の3倍以上に膨れ上がった。昨年とくに多かったのが、楽天カード、クレディセゾン、三菱UFJニコスのフィッシングだ。「不正ログインされた可能性があるのでパスワードをリセットしたから再設定するように」と求め、カード情報などを再登録させる手口がよく使われた。

　これらをはるかに上回る勢いで増殖したのが、クレジットカードを利用するサービスに成りすましたフィッシングだ。支払い情報の更新や本人確認などと称して、クレジットカードを求める手口がよく使われ、アマゾン、アップル、ヤフーが頻繁に狙われた。

●対策：ありえない「クレカ情報入力」要求に従わない

　これらのサービスでは、商品や有料サービスなどの購入時にクレカ情報を入力するのが基本だ。サービス側からユーザーにクレカ情報を求めるようなことはないので、騙されないよう注意したい。ログインやクレカ情報を求めるメールが届いたら、サポート窓口に問い合わせるか、公式サイトで確認することをおすすめする。

 

■悪用される「スマホ決済」――店頭での不正購入相次ぐ

　盗まれたクレカ情報は、犯罪者自身やクレカ情報の転売先で支払いに不正利用されることになる。不正利用の手口として昨年から相次いでいるのが、「スマホ決済」の悪用だ。クレカ情報は、そのままではオンラインなどの非対面の決済でしか利用できないが、スマートフォンをカード代わりに使えるスマホ決済に登録することで、店頭でも利用できるようになる。

●「スマホ決済」悪用で逮捕：店頭でポータブルHDDを騙し取る

　愛知県警は2月12日、不正に入手した他人名義のクレカ情報をスマホ決済サービスに登録し、同サービスのバーコード画像を表示して店員に読み取らせ、ポータブルハードディスクを騙し取ったとして、名古屋市内の男2人を逮捕したと発表した。悪用されたのは、ヤフーが昨年6月に始めた「Yahoo!ウォレット」や「Yahoo!マネー」を使ったスマホ決済サービス「ヤフーアプリ支払い」だという。

●後継の「PayPay」でも不正利用：家電量販店などで数万～数十万円の買い物

　この「ヤフーアプリ支払い」は昨年11月、「PayPay」に受け継がれる形で終了。翌12月には、後継の「PayPay」でクレカの不正利用が相次ぎ問題となった。何らかの方法で入手したカード情報を勝手にアプリに登録し、使用したとみられる。対応するコンビニや家電量販店で数万から数十万円の買い物をされたという報告が相次ぎ、PayPayはその後、後述する「3Dセキュア」への対応や利用額の制限などの対策を打ち出している。

●NTTドコモ「iD」でも不正利用：家電量販店などで数万～数十万円使い込み

　今月17日から19日にかけて行われた三井住友カードのフィッシングでは、NTTドコモのスマホ決済「iD」が悪用されたとみられる不正購入が報告されている。昨年のPayPayと同様、コンビニや家電量販店で数万から数十万円単位で使い込まれたという。

・スマホアプリ決済でクレカ不正使用相次ぐ――PayPay利用に限らず被害発生(12/21)

・「三井住友カード」を名乗る不審なメールにご注意ください

・クレジットカードご利用時の上限金額について（2019年2月12日時点）PayPay

 

■対策としての「3Dセキュア」――ワンタイムPWの採用も進展

　「3Dセキュア」とは、Visaが「VISA認証サービス」、Mastercardが「Mastercard SecureCode」、JCBが「J/Secure」、American Expressが「American Express SafeKey」と呼んでいるもので、カード利用時に各カード会社のサイトでパスワード認証を行い、カードの持ち主本人であることを確認する。

　プラスチックのカードで支払う際のサインや暗証番号に相当する、オンライン用の本人確認手段だ。必須というわけではなく、アマゾンや楽天市場のように、大手でも未対応のところは多いものの、対応サービスはパスワードがないと利用できなくなるので、安全性はそれなりに向上する。スマホ決済も同様で、パスワードがないクレジットカードは登録できない（「PayPay」は利用額が5000円に制限される）。

▼3Dセキュアのパスワードを詐取するアマゾンのフィッシングサイト（左）、60秒で無効になるワンタイムパスワードを自動生成するアプリ（右）

　詐欺サイトやフィッシングの中には、この3Dセキュアのパスワードまで詐取するところが数多くある。その対抗策として3Dセキュアにもワンタイムパスワードの採用が進められている。American Expressはメールで届き、三井住友カードやJCBなどはアプリで生成する方式だ。ワンタイムパスワードは、詐取されても短時間で無効になるので、より高い安全性が期待できる。

（2019/02/22 ネットセキュリティニュース）

現代フォーラム／鈴木直美

◆パスワード最前線(2) パスワード不要の「パスワードレス認証」広がる――アプリや指紋・顔などで安全ログイン（2019/02/21）

　端末へのログインや画面ロックの解除に、顔や指紋などの生体認証が利用できる製品が増えてきた。パスワードや暗証番号は使わずに、端末に顔を向けたりタッチしたりするだけで、一瞬で認証が完了する便利な機能だ。そんなパスワードを使わない「パスワードレス認証」がインターネットのサービスにも広がり始めている。

 

■マイクロソフトのパスワードレス認証

　マイクロソフトが提供するパスワードレス認証サービスは2つある。1つは、パスワードを使わずにアプリでログインを承認する方法で、一昨年から提供されている。もう1つは、Windows Hello（Windows10の認証機能）やセキュリティキーを使う方法で、昨秋から提供されていたもの。日本語サイトではしばらく未サポートのままだったが、ようやく利用できるようになった。

●スマホ用「認証アプリ」でログイン

　同社が無料で提供しているスマートフォン用の認証アプリ「Microsoft Authenticator（マイクロソフト・オーセンティケーター）」と連携したログイン方法で、アプリに届くサインイン要求メッセージを承認するとログインできる。アプリ（iPhoneなどのiOS用とAndroid用のどちらも可）をアカウントの2段階認証の認証アプリとして登録し、ログイン時にアプリを使用すると、アプリに要求メッセージが届く。

　アプリ側での承認は、端末の指紋認証や暗証番号などでロックを解除できることが条件になっている。端末を所持し、なおかつロックを解除できるという2要素で保護されているわけだ。さらに初回の承認時のみ、ログインしようとしている側の端末に表示される2桁の数字を、アプリ側で選択するというひと手間が加わる。ログインする環境が変わらない限り、2回目以降にこの手順はない。このプロセスの有無で、自身がログインしようとしているのか、騙されて別の環境でのログインを手助けしているのかが判別ができる。

▲マイクロソフトが提供するアプリでログインを承認する方法：（上）初回承認時のみ、ログインしようとしている側の端末に表示される2桁の数字を認証アプリ側で選択する。（下）2回目以降は、認証アプリに届くサインイン要求を承認するとログインできる。

 

●「Windows Hello」または「セキュリティキー」でログイン

　Windows Helloは、Windows 10がサポートする指紋認証などを使用する認証機能のこと。対応パソコンやWindows Hello互換の認証機器をセットアップし、同社のブラウザ「Microsoft Edge」を使用すると、パスワードの代わりに認証に使えるようになる。

　セキュリティキーは、FIDO2（前編で述べた認証規格FIDO U2FおよびFIDO UAFの拡張規格）に対応した製品なら単体で、Windows Helloに対応した製品の場合はWindows Hello経由で、Microsoftアカウントに登録する。Microsoftアカウントのサインインオプションで「Windows Helloまたはセキュリティキーを使用してサインイン」を選択すると、登録したWindows Helloやセキュリティキーを使ってログインできる（下図参照）。

▲マイクロソフトが提供するWindows Helloまたはセキュリティキーでログインする方法：（左）サインインオプション。（右）認証画面。

 

■ヤフーのパスワードレス認証　

ヤフーが提供するパスワードレス認証のうち、2種類のサービスをご紹介する。従来のパスワードは使わず、SMSやメールに届く「確認コード」を使ってYahoo IDにログインする方法と、スマートフォンの「指紋認証」などを使う方法だ。ソフトバンクのスマートフォンを使用している場合は、操作不要の「スマートログイン」も利用できる。確認コードを使うログインやスマートログインを設定すると、従来からのパスワード認証を無効化することも可能だ。

▼ヤフーのパスワードレス認証：（左）SMSの確認コード。（右）指紋認証

 

●「確認コード」でログイン

　SMSやメールを使う2段階認証から1段階目のパスワード認証を無くした方式で、登録した電話番号やメールアドレス宛てに届く数字を入力してログインする。SMSからの自動入力に対応したiPhoneなら、ワンタップで快適にログインできる。

　SMSやメールで届く数字は毎回異なるので、即座に使われない限り不正ログインはできない。ただし、SMSはスマートフォンとSIMカードのセキュリティ次第で、メールは送信先のメールアカウントのセキュリティ次第で、コードを取得されるおそれがある。ユーザーが騙されてしまった場合やマルウェア感染にも弱い。

●「指紋」「顔」などでログイン

　前編で述べた「FIDO」を使ったログインを提供する。事前にサービスに登録しておいた端末上で指紋認証などを行えば、オンラインのサービスにログインできる仕組みだ。

　現時点では、Android端末上のGoogle Chromeからのログインでしか利用できないという制約があるが、前述の確認コードの弱点はなくなり、簡単でありながら安全性は高い。ただし、確認コードでのログインは無効にできないので、騙されたユーザーが操作して攻撃者をログインさせてしまう余地は残る。

 

■「パスワードを覚えなくてよい世界」へ

　一昨年から始まったパスワードを使わないログインは、ようやく環境が整い始めたところだが、パスワードレスの世界が垣間見えただろうか。今後のアップルの参入と対応サービスの拡大次第ではあるが、パスワードを覚えなくてもよい世界は、すぐそこまで来ているのかもしれない。

（2019/02/21 ネットセキュリティニュース）

現代フォーラム／鈴木直美

◆パスワード最前線(1) 破られる「ワンタイムパスワード」、突破を阻止する「セキュリティキー」（2019/02/20）

　アカウントのセキュリティを強化する「2段階認証（ワンタイムパスワード）」を破る攻撃が、国内で多発している。SMSやメールの盗み見、電話での聞き出し、フィッシングなど、攻撃者はさまざまな方法で2段階目の認証を突破しようとしている。

■破られる二段階認証（ワンタイムパスワード）

　現在主流のパスワード認証は、何らかの方法で攻撃者にパスワードを入手されたり、安易なパスワードを推定されたりすると、本人になりすましてログインされてしまう。そこでもう一段階別の認証を追加し、パスワードが破られても侵入できないように強化するのが「二段階認証」だ。

●「ワンタイムパスワード」の仕組み

　二段階目の認証には、専用のハードウェアやアプリ、メール、SMS、音声通話などを使い、認証に使用する数桁の数字（以後、認証コードと呼ぶ）をそのつど送ったり生成したりするのが一般的だ。認証コードは、数十秒から数分で無効になる使い捨てのワンタイムパスワードなので、盗んだものを後で使おうとしても役に立たない。

●ワンタイムパスワードを突破する「リアルタイム攻撃」

　ところが、盗んだ認証コードを即座に使用する、リアルタイム攻撃には脆弱で、簡単に破られてしまう。昨年から頻発している通信会社や銀行を装うフィッシング、SMSやメールを盗み取るマルウェア感染で、この方法が用いられているほか、銀行や仮想通貨の取引所の関係者を装い、電話で聞き出す手口も使われているという。

▼2段階認証を突破しようとするフィッシングサイト：NTTドコモ（左上）、ソフトバンク（右上）、au（左下）、三井住友銀行、(右下)

 

　認証コード（ワンタイムパスワード）は、公式サイトにログインする時や、ネットバンキングで送金する時など、限られた場面でしか使用しない。電話で尋ねるようなことはなく、公式サイトと公式アプリ以外で入力を求められることもないので、偽者に騙されないよう細心の注意をはらっていただきたい。

 

■突破を阻止する2段階認証（セキュリティキー）

　一部のサービスでは、2段階目の認証にFIDO（Fast IDentity Online：ファイド）のU2F（Universal 2nd Factor：ユーツーエフ）という仕様に準拠した、「セキュリティキー」と呼んでいる物理的なキーを使用することができる。これは、端末のUSBポートに挿したり、無線のBluetoothやNFC経由で接続したりする認証専用の小さな機器で、対応サービスのアカウントに登録すると、これを使用して2段階目の認証が行えるようになる。

▼セキュリティキー（指先で触れている青い長方形）をUSBポートに挿入して使用する（写真出所：https://www.yubico.com/press/images/）

 

●「セキュリティキー」を使う2段階認証

　1段階目のパスワード認証が通ると、2段階目の認証コードの入力画面の代わりに、セキュリティキーの操作を促す画面が表示される。指示に従って操作すればログイン完了だ。

▼Googleアカウントの2段階認証プロセス：コード入力の場合（左）、セキュリティキーの場合（右）

　セキュリティキーを使う2段階認証では、ログインできるのは、アカウントに登録したセキュリティキーを接続している端末のみ。認証コードのように攻撃者に横取りされて使われることはなく、騙されたユーザーの操作で攻撃者の端末をログインさせてしまうようなことにもならない。ログイン情報と物理キーの両方を盗まれない限り、アカウントは守られる。

 

●セキュリティキーを利用できるサービス

　2段階認証にセキュリティキーを利用できるサービスは、グーグル、フェイスブック、ツイッター、ドロップボックスなど。ブラウザは、Google Chrome、Opera、Firefox、Microsoft Edgeが対応している。

●「パスワードレス認証」の登場

　FIDOにはもうひとつ、機器側で指紋や暗証番号などを使って認証を行う、UAF（Universal Authentication Framework：ユーエーエフ）という仕様がある。これを使い端末側で認証を行うことで、パスワードなしで利用できるサービスが出始めている。

　続編となる次の記事では、マイクロソフトやヤフーが提供する「パスワードレス認証」をご紹介する。さまざまなネットサービスが、パスワードなしで安全に利用できる日が来るかもしれない。

（2019/02/20 ネットセキュリティニュース）

現代フォーラム／鈴木直美