アイデンティティ攻撃2026年最新動向｜インフォスティーラー急増とMFA迂回・企業の対策

2026年8月31日 · 5分で読めます · 23 views

アイデンティティ攻撃とは？2026年に急増している背景

2026年、サイバー攻撃の主戦場は「脆弱性の悪用」から「アイデンティティの侵害」へと大きくシフトしています。クラウドサービスやSaaSの普及により、IDやパスワードなどの認証情報そのものが「新たな境界線（ペリメーター）」となりました。攻撃者はシステムの穴を突くのではなく、正規ユーザーになりすますことでセキュリティ制御をまるごとバイパスします。

Verizon DBIRの調査によれば、認証情報を起点とした侵害は全体の約31%に達しており、アイデンティティ攻撃はもはや特定業界だけの問題ではありません。企業規模を問わず、あらゆる組織が標的となっています。

最新手口①：インフォスティーラーによる大規模な認証情報窃取

2026年における最大の脅威の一つがインフォスティーラー（情報窃取型マルウェア）です。感染した端末からID・パスワード、ブラウザに保存されたCookie、クレジットカード情報などをひそかに抜き取り、攻撃者に送信します。ランサムウェアと異なり「壊さず、気づかせない」のが最大の特徴で、発覚が大幅に遅れるケースが多発しています。

Recorded Futureの2026年3月公開データによると、認証情報窃取は2025年に160%急増し、580万台の感染端末から18億件のログイン情報が盗まれました。また、SpyCloudは2024年にダークウェブ上で530億件以上の個人識別情報レコードが流通していると報告しており、前年比22%増となっています。盗まれたステーラーログは収集後数時間以内に闇市場で売買され、被害者がパスワードを変更する前にアカウントが乗っ取られるケースも珍しくありません。

最新手口②：セッションハイジャック（Cookie窃取）でMFAを完全無効化

攻撃者はパスワードだけでなく、セッションCookie（認証済みトークン）を狙うようになっています。セッションCookieを入手すれば、パスワードも多要素認証（MFA）も不要で、すでに認証済みのセッションをそのまま乗っ取れるためです。ダークウェブ上には173億件ものセッションCookieが流通しているとも報告されており、クラウド環境ではこの手法が特に効果的です。

最新手口③：MFA疲労攻撃（MFA Fatigue）の爆発的増加

MFAを迂回する別の手法として「MFA疲労攻撃」が急拡大しています。攻撃者はMFAの承認通知を何度も送り続け、ユーザーが煩わしさから誤って「承認」を押してしまうよう誘導します。2025年のVerizon DBIRでは、MFA疲労攻撃が前年比217%増と報告されており、プッシュ通知型MFAはもはや高リスク環境での安全策とは言えなくなっています。また、SIMスワッピングによってSMSベースの2段階認証を突破する手口も依然として深刻な脅威です。

日本でも2025年以降、MFA導入済み企業でのフィッシング被害が相次いでおり、「MFA導入＝安全」という前提はもはや成立しないのが現実です。

最新手口④：AIを駆使したアイデンティティ詐称

2026年のアイデンティティ脅威は、AIの悪用によってさらに高度化しています。AIが生成したディープフェイク音声で本人確認を突破したり、AIスピアフィッシングでOAuthの同意フローを操作しセッショントークンを搾取するケースが急増しています。また、実在する情報と偽の個人情報を組み合わせた合成アイデンティティ詐欺（いわゆる「フランケンシュタインID」）の被害も拡大しており、Sumsubの報告では高度な本人確認詐欺が2024年比180%増となっています。

企業が取るべき対策：パスキーとゼロトラストの実装

これらの脅威に対抗するために、企業は以下の対策を優先的に実装すべきです。

パスキー（FIDO2/WebAuthn）の導入：パスキーはアクセス先のドメインに紐づいているため、フィッシングサイトでは認証情報が応答しません。フィッシング耐性MFAとして最も有効な対策であり、Salesforceは2026年7月より特権ユーザーへのフィッシング耐性MFA（パスキー・YubiKey・Windows Hello等）を義務化しています。
インフォスティーラー対策（EDR・エンドポイント保護）：感染端末からの認証情報流出を防ぐため、EDRによるリアルタイム検知と、ブラウザ保存パスワードの管理方針を見直すことが重要です。
セッション管理と異常検知の強化：セッショントークンの有効期限短縮、不審なIPや地域からのアクセス検知、継続的認証の仕組みを導入します。MFAだけでなく、セッション管理層でも保護を重ねることが必要です。
パスワードの使い回し撲滅と資格情報監視：BYODデバイスでは業務用と個人用の認証情報が混在するリスクがあります。パスワードマネージャーの全社導入と、ダークウェブ上での漏洩情報モニタリングを組み合わせましょう。
ゼロトラストアーキテクチャの推進：「認証済み＝信頼」という前提を捨て、すべてのアクセスを継続的に検証する設計に移行します。行動分析や最小権限原則の徹底も不可欠です。