アイデンティティ攻撃2026年最新動向｜認証情報窃取の手口と企業の対策
なぜ今「アイデンティティ攻撃」が危険なのか
サイバー攻撃の主戦場は、マルウェア感染から「認証情報の窃取・悪用」へと急速にシフトしています。RSAが公表した「2025 Identity Security Index」によると、アイデンティティ関連の侵害が急増し、影響を受けた組織の割合はわずか1年で42%から69%へと跳ね上がりました。もはや大企業だけの問題ではなく、あらゆる規模の企業が標的となっています。
2026年の主な攻撃手口
① インフォスティーラーによる認証情報の大量窃取
インフォスティーラー（Infostealer）と呼ばれるマルウェアが急増しています。このマルウェアはブラウザに保存された認証情報やセッションCookieを根こそぎ奪い、攻撃者はパスワードを直接入力することなく被害者のログイン状態をそのまま乗っ取ることが可能です。パスワードを知らなくても「なりすまし」ができてしまう点が最大の脅威です。
② ヘルプデスクを狙ったソーシャルエンジニアリング
攻撃者は正規の従業員になりすましてサポート窓口に連絡し、パスワードリセットや多要素認証（MFA）の無効化を依頼することでアカウントを乗っ取る手口が広がっています。2023年のMGMリゾーツへの大規模侵害でも同様の手口が用いられており、ヘルプデスクを狙ったソーシャルエンジニアリングは現在も主要攻撃経路の一つです。
③ 脆弱な認証管理への直接侵入
IPA「情報セキュリティ10大脅威2025（組織編）」でも、流出・窃取された認証情報や脆弱な認証管理を悪用した不正アクセスが主要攻撃経路として明記されています。MFAを適用していないシステムは、認証情報が一度漏洩すると即座に侵入を許してしまうリスクが高く、MFA未導入が被害拡大に直結する典型的な構造となっています。
パスワードレス化は「解決策」になるのか
パスワードレス認証への関心は急拡大しており、生体認証・パスキー・ハードウェアトークンなどのアプローチが普及しつつあります。一方で、コスト・既存システムとの互換性・運用負荷が導入障壁となっており、移行が進まない企業も多い現状です。
パスワードレス認証への移行が困難な場合でも、MFAの全社展開だけで多くのアイデンティティ攻撃を防ぐことができます。「MFA導入→パスワードレスへの段階移行」という現実的なロードマップが、多くの企業にとって最善のアプローチです。
企業が今すぐ取るべき5つの対策
- MFAの全社・全システム展開：VPN、クラウドサービス、社内システムすべてにMFAを適用し、認証情報窃取だけでは侵入できない環境を整備する。
- インフォスティーラー対策の強化：エンドポイントセキュリティ（EDR）の導入と、ブラウザへの認証情報保存ポリシーの見直しを実施する。
- ヘルプデスクの本人確認プロセス強化：パスワードリセットやMFA変更の申請には、複数チャネルでの本人確認を必須とするルールを策定する。
- パスキー・パスワードレス認証の段階的導入：重要業務システムから優先的にパスキーやFIDO2準拠の認証方式に移行し、フィッシングに強い認証基盤を構築する。
- 認証ログの継続的な監視：SIEMなどを活用して異常なログイン試行や権限昇格を即時検知できる体制を整え、インシデントの早期発見・封じ込めを実現する。
まとめ：「認証の堅牢化」が2026年の最優先課題
攻撃者はもはやシステムの脆弱性だけでなく、「人と認証の隙間」を狙っています。アイデンティティ侵害は一度発生すると被害が組織全体に連鎖し、ランサムウェアや情報漏洩へと直結します。MFAの徹底導入をスタートラインとして、パスワードレス認証への移行を中長期的なロードマップに位置づけることが、2026年の企業セキュリティにおける最重要アクションです。
