キヨさん続編12_パスコード多要素認証編_

Transcript

1. キヨさん続編12_パスコード多要素認証編 ｜ 多要素認証とパスキー キヨさん、 合言葉を 二重にする 鍵 証券会社から「パスコードと多要素認証を設定してください」というメール。 どのパスコードだ？ 昭和のSEキヨさんが、金庫と判子と乱数表を持ち出して考え る話 パスワード ワンタイムパスコード 多要素認証 リアルタイムフィッシング パスキー ※この物語はフィクションです。登場人物は架空です。技術や出来事の説明は、公開された資料に基づきます。 「パスコードを 組み合わせろ、だと？」
2. 人 登場人物 3人と、AIの相棒 清 ハ ミ 相 山田 清之（67） キヨさん 孫・ハルト（21） 助手 南 ミナミ（29） Webエンジニア AI「相棒」 何でも覚えたがる側 元メインフレームSE。現役時代 は、利用者に30日ごとのパスワ ード変更を強制する側だった 情報系の大学生。ゼミでパスキー を調べたばかり 社内システムに多要素認証を入れ る係になった。問い合わせ対応に 追われている キヨさんのおしゃべりLLM。今回 はパスワードまで覚えたがる 「合言葉なら任せろ」 「変えるだけじゃ足りないよ」 「どのパスコードですか？」 「私が覚えておきましょうか！」 ※登場人物はすべて架空です キヨさん続編12_パスコード多要素認証編 2
3. 序 メールが3通届いた キヨさんの理解度 5% プロローグ｜月曜の朝、キヨさんの書斎 受信箱に届いた3通 ◦◦証券 パスワード変更と、多要素認証の設定のお願い 通販サイト△△ パスキーを登録しませんか 【緊急】□□銀行 口座を凍結しました。下のリンクから本人確認 を 3通目だけが偽物 「凍結しました」で慌てさせて、リンクから偽 サイトへ連れていく。文面は本物そっくり 清 パスワードを変えて、パスコードを組み合わせろ、か。よし、3通とも今すぐ対応だ ハ 待って。3通目は偽物。「凍結」なんて言って慌てさせるのが手口だよ 清 ……どれも本物に見えるぞ ミ うちの会社も多要素認証を入れることになって、私が係なんです 相 パスワード、私が覚えておきましょうか！ 清 お前にだけは教えん ※メールの差出人・文面は架空の例です。登場人物と会話は物語の例です キヨさん続編12_パスコード多要素認証編 3
4. 1 盗んだ合言葉で他人の株を売り買い キヨさんの理解度 12% 第1章｜なぜ今、こんなに連絡が来るのか 約9,000件 約6,900億円 10月15日 証券口座の不正取引の件数（2025年1〜9月 の累計、8,970件） 同じ期間の不正な売却と買付の合計（約 3,670億円＋約3,233億円） 2025年、日本証券業協会がガイドラインを 改正・施行 何が起きたか 偽のメールやSMSで偽サイトへ誘い、ログインIDとパスワードを入力さ せて盗む。盗んだ合言葉で本人になりすまし、口座の株を勝手に売り買 いした 業界の対応 ログイン、出金、出金先の口座変更のときに、偽サイトに強い多要素認 証（パスキーなど）を初期設定で必須にする。各社が順次対応し、利用 者に設定を呼びかけた キヨさんのたとえ：金庫破りより合言葉 清 わしらの頃の泥棒は、夜中に金庫をこじ開けたもんだがな ハ 今は昼間に、本人のふりをして正面から入るんだよ 金庫をこじ開けるより、合言葉を聞き出して堂々と正面から入るほうが 手軽 ※出典：金融庁（2025年10月6日公表の集計）、日本証券業協会（2025年10月15日改正・施行のガイドライン） キヨさん続編12_パスコード多要素認証編 4
5. 2 合言葉の4つの泣きどころ キヨさんの理解度 18% 第2章｜パスワードだけでは、なぜ危ないのか ① 盗み見られる 偽サイトに入力させる（フィッ シング） ② 当てられる 名前、誕生日、password123の ような推測しやすい合言葉 ③ 漏れる 預けた先のサービスから、まと めて流出する ④ 使い回される 一つ漏れると、同じ合言葉のほ かのサイトも開く（リスト型攻 撃） 昭和なら：「経理部です」の 電話 昭和なら：金庫の番号を誕生 日に 昭和なら：預け先の名簿が盗 まれる 昭和なら：一本の鍵で家も金 庫も 合言葉の困ったところ 知っていれば誰でも開けられる。どんなに長くしても、盗まれたら本人 と区別がつかない キヨさん続編12_パスコード多要素認証編 清 わしのは、孫の名前と……いや、言わん ハ それ②だよ。全部のサイトで同じなら④も 清 …………今の、聞かなかったことにしろ 5
6. 30日ごとの変更はもう古い 3 キヨさんの理解度 25% 第3章｜「パスワードを変えて」の本当の意味 キヨさんの昔の常識 大型機では30日ごとに変更を強制。すると人 は末尾の数字を一つ足すだけになる KIYO01 今の考え方 ・定期的な変更は強制しない ・文字の種類の混ぜ方も強制しない ・長さを重視する（パスワードだけで守るな ら15文字以上） ・漏れた疑いがあるときに変える 連絡が来たら 「変えてください」と言われたら、漏れたか もしれないということ。そのサイトだけの新 しい合言葉に変えておく。入るのはメールの リンクからではなく、公式アプリかブックマ ークから KIYO02 KIYO03 … 清 30日ごとに変えさせたのは、わしらだ。部下はみんな末尾の数字を足しとった ハ 定期的に変えるのはやめていい。でも、漏れたときはすぐ変える。そこが大事 ※出典：NIST SP 800-63B-4（2025年7月）。総務省、NISC（現・国家サイバー統括室）の資料も「定期変更は不要、流出したら変更」の立場 キヨさん続編12_パスコード多要素認証編 6
7. 4 鍵は3種類ある キヨさんの理解度 32% 第4章｜多要素認証の「要素」とは 要素1 要素2 要素3 知っているもの（知識） 持っているもの（所持） 本人そのもの（生体） パスワード、暗証番号、秘密の質問 スマホ、ICカード、セキュリティキー 指紋、顔 昭和なら：合言葉「山」「川」 昭和なら：入館証、金庫の鍵 昭和なら：守衛さんの顔パス 多要素認証とは 種類の違う鍵を2つ以上そろえて開ける。片方を盗まれても、もう片方 で止められる キヨさん続編12_パスコード多要素認証編 清 計算センターの入口は、入館証と暗証番号と守衛さんの三段構 えだった。あれと同じか ハ そうそう。入館証を拾っただけじゃ入れないし、暗証番号を聞 いただけでも入れない 7
8. 5 「二つ聞けば二要素」ではない キヨさんの理解度 40% 第5章｜よくある勘違い ✕ パスワード ＋ 秘密の質問 知識 ＋ 知識。同じ種類を2回聞いているだけ。偽サイトなら両方まとめ て盗まれる ◦ パスワード ＋ スマホに届くコード 知識 ＋ 所持。合言葉が漏れても、スマホが手元になければ入れない 昭和なら：合言葉を2回聞く門番 昭和なら：合言葉と入館証の両方を見る門番 二段階認証と二要素認証 「二段階」は確認を2回に分けるだけで、中身が同じ種類でもそう呼ぶ 。「二要素」は種類が違うこと。見るのは回数より種類 清 鍵を2本にしても、同じ鍵束に付けとったら意味がないな ハ 泥棒は鍵束ごと持っていくからね ミ 社内の説明会、ここで絶対に質問が出ます キヨさんのたとえ：同じ鍵束 金庫の鍵を2本にしても、同じ鍵束にぶら下げていたら一緒に持ってい かれる キヨさん続編12_パスコード多要素認証編 8
9. 6 「パスコード」はどれのこと？ キヨさんの理解度 48% 第6章｜同じ呼び名で、中身が3つ 意味1 意味2 意味3 スマホのパスコード ワンタイムパスコード 暗証番号（PIN） 画面ロックの数字。スマホの中だけで確かめ る。「持っている」スマホを他人に使わせな いための錠 ログインのたびに届く使い捨ての数字（OTP ）。短い時間で無効になる。「持っている」 ことの証明 いつも同じ数字。「知っている」ものの一種 で、パスワードの短い仲間 昭和なら：机の引き出しの鍵 昭和なら：銀行の乱数表 昭和なら：キャッシュカードの4桁 連絡に出てくる「パスコード」 「パスワードにパスコードを組み合わせて」とあれば、たいてい意味2 のワンタイムパスコードのこと キヨさん続編12_パスコード多要素認証編 清 呼び名が同じで中身が違う。仕様書で一番もめるやつだ ミ 社内の問い合わせも「どのパスコードですか？」が一番多いで す 9
10. 7 時報を合わせた二人の乱数表 キヨさんの理解度 55% 第7章｜ワンタイムパスコードの届け方と仕組み ① 種を分け合う 最初の設定で、サービスとスマホが同じ「種」（秘密の値）を持つ 。QRコードを読むのはこのため キヨさんのたとえ：時報と乱数表 乱数表を持った二人が、時報で時計を合わせて同じ行を読む。夜間バッチの 時刻合わせと似たようなもの ② 時刻で計算 30秒ごとに、種と今の時刻から6桁を計算する ③ 照合 清 表を配るのは最初の一回だけ。あとは時計しだいか ハ うん。だから機種変更のときは、種の引き継ぎを忘れないでね サービス側も同じ計算をして、6桁が一致すれば合格 届け方 よいところ 弱いところ SMS 手軽。多くの人が使える 電話番号の乗っ取り（SIMスワップ） メール スマホがなくても受け取れる メールが乗っ取られると共倒れ 認証アプリ 電波がなくても表示できる 機種変更の引き継ぎに注意 ※認証アプリの方式は「TOTP」と呼ばれる。30秒・6桁は一般的な設定の例 キヨさん続編12_パスコード多要素認証編 10
11. 8 替え玉の窓口 キヨさんの理解度 62% 第8章｜事件：コードを入れたのに乗っ取られた（リアルタイムフィッシング） キヨさん 偽サイト（替え玉の窓口） 本物の証券会社 キヨさんのたとえ：取り次ぎ係 偽の支店の窓口に、本物の支店へ電話 を取り次ぐ係が座っている。コードは 本物から届くから、客は気づけない ① IDとパスワードを入力 ② 犯人がすぐ本物に入力 ③ 本物がスマホにコードを送る ハ コードまで入れたのに、乗っ 取られちゃうんだよ 清 ……わしも3通目を押していた ら、こうなっとったか ④ 届いたコードを偽サイトに入力 ⑤ 犯人が中継 → ログイン成功 ※フィッシング対策協議会のガイドライン（2026年度版）は、ワンタイムパスワードを使うだけではフィッシングに強いとはいえない、としている キヨさん続編12_パスコード多要素認証編 11
12. 9 錠を増やすと泥棒は人をだましにくる キヨさんの理解度 68% 第9章｜ほかの破られ方と、守り方 承認ボタンの連打 電話で聞き出す 夜中に何度も「ログインを承認しますか」の通知を送り、うっかり押さ せる 守り方：心当たりのない通知は拒否し、すぐパスワードを変える 「サポートです。届いた番号を読み上げてください」 守り方：コードは誰にも言わない。本物は聞いてこない 昭和なら：夜中の当直に鳴りやまない電話 昭和なら：「経理部です」と名乗る電話 電話番号の乗っ取り 情報を盗むウイルス 犯人が携帯会社をだまし、番号を自分のSIMに移す（SIMスワップ） 守り方：携帯会社の暗証番号やロックを設定。SMSより強い方式へ パソコンから、ログイン済みの状態ごと盗む（インフォスティーラー） 守り方：OSとブラウザを更新。怪しいソフトを入れない 昭和なら：電話の転送を勝手にかけられる 昭和なら：通用口に置かれた盗聴器 清 機械の錠を増やすほど、泥棒は人をだましにくる。最後の穴は、いつも人だ キヨさん続編12_パスコード多要素認証編 12
13. 10 銀行印と届出印 キヨさんの理解度 76% 第10章｜パスキー：合言葉を送らないログイン キヨさんのスマホ（金庫） 印鑑（秘密鍵） サービスには渡さない。サイトごとに別の 印鑑 指紋・顔・PIN 金庫を開けるだけ。外へは送らない ① 毎回ちがう伝票（問題）を出す ② スマホの中で印を押す（署名） 証券会社（サービス） 印影（公開鍵） 登録のとき届け出たもの。照合に使うだけ 盗まれても 印影から印鑑は作れない 印 ③ 印影と照合 → ログイン 送る合言葉が、どこにもない キヨさんのたとえ：銀行印と届出印 銀行印は家の金庫にしまって、銀行には印影だけ届けておく。伝票は毎 回新しいから、前の伝票の写しは通らない 清 昭和の銀行は、ずっとこれでやっとった ハ しかもこの印鑑、伝票の支店名まで見るんだよ。それは次で ※パスキーはFIDOアライアンスなどが定めた公開鍵暗号の方式。「印鑑と印影」はたとえで、実際は数学の鍵のペア キヨさん続編12_パスコード多要素認証編 13
14. 11 偽の支店では、印鑑が押されない キヨさんの理解度 80% 第11章｜パスキーが偽サイトに強いわけ 比べる点 パスワード＋ワンタイムパスコード パスキー 人が入力するもの 合言葉と6桁のコード なし（指紋・顔・PINで端末を開くだけ） 偽サイトに誘われたら 入力した分だけ中継される サイトの住所（ドメイン）が違うので印を押さない サービスから漏れたら 合言葉が悪用されるおそれ 漏れるのは印影だけ。悪用できない 使い回し 起きがち サイトごとに別の印鑑 端末をなくしたら コードが受け取れない 同期した別の端末や、予備の手段で入る 偽サイトに強い理由（フィッシング耐性） 印鑑は、伝票の支店名（サイトの住所）が違えば押されない。人がだま されても、印鑑はだまされない キヨさん続編12_パスコード多要素認証編 清 客がだまされても、印鑑のほうが「ここは本店ではない」と言 うわけか。賢い印鑑だ ハ それで証券会社も、ログインや出金のときはパスキーみたいな 偽サイトに強い認証を、ってことになったんだ 14
15. 12 相棒に聞いてみた キヨさんの理解度 84% 第12章｜AIには、判断の手伝いだけ頼む 相 キヨさんのパスワードとコード、私が覚えて差し上げます！ 清 AIにも人にも、合言葉とコードは教えん。それより、3通目のメールを見てくれ 相 あやしいところが3つあります。不安をあおる書き方、差出人のアドレス、それに リンク先の住所が銀行と違います。公式アプリで見てみてください AIに渡してはいけないもの パスワード、ワンタイムパスコード、バックアッ プコード、暗証番号。メールを見てもらうときも 、秘密の部分は消しておく キヨさんのたとえ：相談役と決裁者 清 判断は手伝ってもらう。だが、押すか押さないかを決めるのは、わしだ ハ AIだって外すことはあるからね。最後は公式アプリで見るのがいちばん確実 相談役の意見は聞く。でも判子を押すのは決裁す る者。AIは相談役どまり ※相棒の返答は物語の例です（実在のAIの出力ではありません） キヨさん続編12_パスコード多要素認証編 15
16. 13 キヨさんの6か条 キヨさんの理解度 86% 第13章｜キヨさんの設定作業 一、大事な口座から 証券・銀行・メール・携帯会社。メールが破 られると、ほかの「パスワード再設定」も破 られる 二、パスキーがあれば登録 偽サイトに強い。ログインも指一本で速くな る 三、なければ認証アプリ それもなければSMS。パスワードだけよりず っと強い 四、合言葉は長く、使い回さない サイトごとに別。覚えきれなければパスワー ド管理の道具を使う 五、リンクから入らない メールやSMSのリンクは押さず、公式アプリ かブックマークから 六、コードは誰にも言わない 心当たりのない通知は拒否。すぐ公式窓口へ 清 段取りは、大事な順だ。全部いっぺんにやろうとすると、どれも中途半端になる ハ メールは先にやっといたほうがいいよ。乗っ取られると、ほかのパスワードも再設定されちゃうから ※パスワード管理の道具は、スマホやブラウザに組み込まれたものも使える。設定の画面や名前はサービスによって違う キヨさん続編12_パスコード多要素認証編 16
17. 14 合鍵の置き場を先に決める キヨさんの理解度 88% 第14章｜鍵をなくしたときの段取り 困るとき 前もって それでも困ったら 2つ目の鍵がなくなる 予備を用意する 公式の窓口へ スマホをなくした、壊れた、機種変更した。 本人でも入れなくなる（締め出し） ・予備の手段を登録（2台目の端末、別の方式 ） ・バックアップコードを紙に書いて金庫へ ・機種変更の前に、引き継ぎ手順を確かめる 公式サイトに書かれた窓口へ。メールやSMS に書かれた番号には電話しない キヨさんのたとえ：災害対策の訓練 合鍵をどこに置くか、印鑑をなくしたらどう届け直すか。なくしてから では遅い キヨさん続編12_パスコード多要素認証編 ハ バックアップコードを付箋に書いて、モニターに貼るのはなし ね 清 …………剥がしてくる 17
18. 結 キヨさんの鍵の台帳 キヨさんの理解度 90% まとめ｜鍵の組み合わせと、その強さ 組み合わせ 昭和なら 強さと弱点 パスワードだけ 合言葉 盗まれたら終わり パスワード＋秘密の質問 合言葉を2回 種類が同じ。効き目は薄い ＋SMS・メールのコード 電話で折り返し確認 中継や番号の乗っ取りに弱い ＋認証アプリのコード 時報を合わせた乱数表 強いが、中継には弱い パスキー 銀行印と届出印 偽サイトに強い。端末の備えが要る パスワードは漏れたら変える。鍵は種類の違うものを足す。使えるならパスキーにしておく それと、コードも合言葉も人に教えない。メールのリンクからは入らない。結局これがいちばん効く キヨさん続編12_パスコード多要素認証編 18
19. 終 ログインが指一本になった キヨさんの理解度 92% エピローグ｜一週間後、キヨさんの書斎 清 証券と銀行とメール、3つともパスキーにした。ログインは指一本だ ミナミさんの社内導入メモ ハ じいちゃん、前よりログインが速くなってる 1. パスキーを第一に、認証アプリを予備に ミ うちも来月からパスキーです。説明会で「銀行印と届出印」、使わせてもらっていいで すか 2. 機種変更・紛失の手順を先に配る 清 使用料は羊羹でいい 3. 「コードを聞く電話はない」を全員に周知 ハ 今日の理解度は何割くらい？ 4. 定期的なパスワード変更の規則はやめる 清 九割だな。残りの一割は、偽メールのリンクを押さん自信だ 相 その一割、私が覚えておきましょうか！ 5. 困ったときの窓口を1か所に ※登場人物と会話は物語の例です キヨさん続編12_パスコード多要素認証編 19
20. 完 合言葉は、漏れたら変えろ。鍵は、違う種類を重ねろ。 偽の窓口では押されん印鑑を持て。 ―― キヨさん ラストカット：キヨさんの新作「パスワード 変えて増えるは 付箋だけ」。 相棒「名句です！」。キヨさん「お世辞はいらん」。相棒「……今回は、身につまされる名句です」。 おしまい
21. 付 付録：鍵の言葉 キヨさんの用語集｜令和の言葉と、昭和のSEの言葉 言葉 意味 キヨさんの言葉 多要素認証（MFA） 知識・所持・生体のうち、違う種類を2つ以上組み合わせる 入館証と暗証番号 二段階認証 確認を2回に分けること。種類が同じこともある 合言葉を2回 ワンタイムパスコード（OTP） 一回だけ使える、毎回変わる数字 乱数表 認証アプリ（TOTP） 共有した種と時刻から、短い間隔（多くは30秒）ごとに数字を出すアプリ 時報を合わせた乱数表 暗証番号（PIN） 決まった短い数字。知識の一種 キャッシュカードの4桁 フィッシング 本物そっくりのメールやサイトで、情報を入力させて盗む 偽の支店 リアルタイムフィッシング 盗んだ情報やコードを、すぐ本物に中継する 取り次ぎ係つきの偽窓口 リスト型攻撃 漏れたIDとパスワードを、ほかのサイトで試す 拾った鍵束で町中の家を SIMスワップ 電話番号を犯人のSIMに移し、SMSを横取りする 電話の転送を勝手にかける パスキー 端末の中の秘密鍵で署名してログインする方式（FIDO） 銀行印と届出印 公開鍵・秘密鍵 照合用に相手へ渡してよい鍵と、相手に渡さない鍵のペア 印影と印鑑 フィッシング耐性 偽サイトに誘われても破られにくい性質 偽の窓口では押されない印鑑 バックアップコード 端末をなくしたときに使う予備のコード 金庫の合鍵 キヨさん続編12_パスコード多要素認証編 21