自衛のためのサイバー攻撃の仕組み講座（AI時代・エンジニア水準）
区分2 人とアカウントを狙う攻撃★★★認証は、「あなたは本人ですか」を確かめる手続きです。パスワードの入力がその代表です。
認証が通ると、サイトはあなたのブラウザに「この人は確認済みです」という印を渡します。 この印のおかげで、ページを移るたびにパスワードを聞かれずに済みます。ログインしている間の状態をセッションと呼び、その印は多くの場合Cookie（クッキー）という小さなデータとしてブラウザに保存されます。
遊園地の入場で考えると分かりやすいです。 入口で本人確認をして、手首にリストバンドを付けてもらう。以降は、リストバンドを見せるだけで乗り物に乗れる。パスワードが入口の確認で、セッションの印がリストバンドです。
パスワードのほかに、もう一つ別の物で確認するのが2段階認証です。 「知っていること（パスワード）」に、「持っている物（スマホに届くコード）」などを足します。
コードを入れる方式でも種類があります。 SMS（携帯電話の番号あてに届くショートメッセージ）で届く数字、認証アプリが30秒ごとに表示する数字、スマホに出る「承認」ボタンなどです。強さの違いは、No.06で比べます。
あるサービスから、IDとパスワードの組が漏れたとします。 攻撃者はその組を、別のサービスのログイン画面に、自動で次々に入れていきます。 これがリスト型攻撃（クレデンシャルスタッフィング）です。
攻撃者はパスワードを推測していません。「別の場所で本当に使われていた組」を試しているだけです。 だから、本人が1文字ずつ工夫した長いパスワードでも、使い回していれば同じように通ります。
成り立つ理由は2つです。
被害は、使い回した範囲に広がります。 特に危ないのは、メールアドレスのアカウントです。ほかのサービスの「パスワードを忘れた」の連絡が全部そこに届くので、メールを握られると、芋づる式に乗っ取れます。
自分の環境の点検は、次の順番でできます。
そのうえで効くのが、2段階認証です。 リスト型攻撃では、攻撃者はパスワードだけを持っていて、2つ目の確認を持っていません。そこで止まります。
なお、NIST（米国の国立標準技術研究所）が出している、ログインと本人確認の守り方の指針（SP 800-63-4）は、パスワードを定期的に変えさせる運用をやめるよう求め、変えるのは流出が疑われる時だけとしています。使い回しを直すのは「今すぐ」ですが、定期的な変更は不要です。
○ よくある勘違い：「うちのサイトは漏らしていないから大丈夫」
→ 漏れたのは別のサービスです。使い回していた自分の側が原因になります
○ 関係する単元：No.06（認証の守りの強さの順番）
第0章で見たとおり、ログインが済んだ後は、リストバンド（セッションの印）だけで通れます。 だから、この印を盗めば、パスワードを聞かれず、2段階認証も聞かれません。確認は、入口で終わっているからです。
攻撃者から見ると、これは強い近道です。 パスワードを破る必要も、コードを聞き出す必要もなく、盗んだ印をそのまま自分のブラウザに入れるだけで、本人としてサイトを使えます。
印を盗む代表的な方法が、情報窃取型マルウェアです。 感染した端末の中のブラウザから、保存されたパスワード・Cookie・各種のトークン（ログイン済みを証明する文字列）をまとめて集めて、攻撃者に送ります。
感染のきっかけは、No.04で見た偽の連絡と同じ道が中心です。 偽の通知や、無料をうたう偽のソフトの配布などから、利用者自身に実行させるものがよくある形と言われています。ここでも、入口はたいてい「人に何かを実行させる」ことです。
印を盗まれない守りと、盗まれても被害を小さくする守りに分けられます。
端末を綺麗に保つ： - OSとブラウザを最新にする - 出どころの分からないソフトを実行しない - パスワードやカード情報は、ブラウザ内蔵の保存機能に置かず、パスワードマネージャーに保存する。ブラウザ内蔵の保存は、感染した時にまとめて抜かれやすいため、盗める物を減らす
印の寿命を短くする： - 使っていない端末やサービスからは、ログアウトする - Googleアカウントなら、アカウントの管理画面で「ログイン中の端末」を開き、見覚えのない端末をサインアウトする。自分の端末が盗まれた疑いがある時は、パスワードを変えるだけでなく、全端末のサインアウトまで行う
さらに、ブラウザ側の対策も出始めています。 Chromeは、セッションの印を、パソコンの中の専用の部品（鍵を外に取り出せない形でしまっておく部品）に結びつけ、盗んだ印を別の端末では使えなくする仕組み（Device Bound Session Credentials、端末に結びつくセッション）を、2026年にWindows版から提供し始めました。macOS版は後からとされています。サイト側の対応も要るので、全部のサービスで効くわけではありません。
「パスワードを変えれば安全」と思われがちですが、印が盗まれた後は、パスワードを変えても、すぐには印が無効にならないことがあります。サインアウトの操作も合わせて行うのは、そのためです。
○ 受講生によく聞かれる質問：「2段階認証をしているのに乗っ取られたのはなぜ？」
→ 2段階認証はログインの瞬間の確認です。ログイン済みの印が盗まれた場合は、その確認を通らずに入られます。第2章と第3章が主な理由です
○ 関係する単元：No.12（サプライチェーン攻撃。拡張機能やソフトに混ざる悪意）
昔の偽サイトは、入力された情報をそのまま保存するだけの物でした。 パスワードを盗めても、2段階のコードは後で使えない（30秒ほどで切れる）ので、突破は難しいと思われていました。
今の偽サイトの一部は、間に立つ中継役になっています。 あなたの入力を、その場で本物のサイトへ取り次ぐ仕組みです。流れは次のとおりです。
あなたの側では、普通にログインできたように見えます。 攻撃者の側には、最後に発行された「ログイン済みの印」が残ります。第2章で見たとおり、印があれば、あとはパスワードもコードも要りません。
この仕組みが成り立つ理由は、コードにあります。 入力する数字は、どのサイトに向けて入れたかを、数字自身は知らないからです。偽サイトに入れても、本物に入れても、同じ数字です。そして30秒の有効期間は、取り次ぐのに十分な長さです。
先ほどのNISTの指針（SP 800-63-4）も、同じ理由を述べています。 パスワード・SMSなどで届くコード・手で入力する数字は、フィッシングに耐えられる方式に含まれません。手で入力する値は、ログインの通信そのものに結びついていないからです。
偽サイトでも働かない方式の代表が、パスキーです。 パスワードの代わりに、スマホやパソコンの指紋認証・顔認証などで入る方式で、ログインしようとしているサイトのドメイン（example.com のような、サイトの住所にあたる名前）を確かめてから働きます。偽サイトのドメインでは働かないので、中継が成り立ちません。詳しくはNo.06（後で出ます）で比べます。
被害の大きさの目安として、警察庁のまとめを伝える報道では、ネットバンキングの不正送金の約9割がフィッシングによるものとされています。中継型はその一部で、全部が中継型とは限りません。
○ よくある勘違い：「2段階認証を入れたから、フィッシングでは破られない」
→ コードを入れる方式は、中継されると破られます。破られにくくするには、偽サイトでは働かない方式（パスキーなど。第3章①）が必要です。
○ 関係する単元：No.04（フィッシングの文面）、No.06（パスキーがなぜ偽サイトで働かないか）
スマホに「ログインしようとしています。承認しますか」と出て、ボタンを押すだけの方式があります。 中継型の偽サイトの場合、この通知は本物のサイトから、本物の依頼として届きます。あなたが押せば、攻撃者のログインが承認されます。
さらに、攻撃者が何度もログインを試して、承認の通知を大量に送りつける手口もあります。うんざりして1回押してしまう、という疲れを狙う形です。 NISTの指針（SP 800-63-4）は、この疲れを狙う攻撃を理由に、承認するだけの方式を認めないとしています。
覚える点は、「画面に出た数字や通知を、人が確認して返す方式は、偽サイトに弱い」ことです。
中継型は見た目では見抜けません。画面は本物がそのまま出ているからです。 手がかりは、人が見る場所に2つだけ残ります。
だから守りの主役は、「人が気づくこと」ではなく、「偽サイトでは働かない認証方式にすること」です。その選び方は、次のNo.06で比べます（後で出ます）。
乗っ取りの道は3本。使い回しはリスト型攻撃、ログイン済みの印は盗まれるとパスワードも2段階認証も通らない、コードを入れる方式は偽サイトの中継で破られる。守りは、使い回しをやめる・端末を綺麗に保つ・偽サイトで働かない方式に変える、の3つ。
問1 別のサービスから漏れたパスワードで、あなたのアカウントにログインされました。あなたは一度もそのパスワードを教えていません。原因として最も考えられるのは？
問2 2段階認証を設定していたのに、パソコンの感染後にアカウントへ入られました。この説明として最も適切なのは？
問3 中継型の偽サイトで2段階認証が通り抜けられる主な理由は？
出典：NIST SP 800-63B-4 Digital Identity Guidelines（https://pages.nist.gov/800-63-4/sp800-63b.html）。フィッシング耐性、SMSなどの扱い、承認のみの方式、パスワードの定期変更をしない点を参照。／警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（https://www.npa.go.jp/news/release/2026/20260310001.html）。不正送金の約9割がフィッシングという点は、この資料を伝える報道（https://atmarkit.itmedia.co.jp/ait/articles/2604/27/news047.html）による。／Chromeの端末結びつきのセッション（DBSC）：https://www.helpnetsecurity.com/2026/04/10/google-chrome-device-bound-session-credentials/ （報道による）／Have I Been Pwned：https://haveibeenpwned.com/ ／OWASP「Credential stuffing」：https://owasp.org/www-community/attacks/Credential_stuffing