認証情報の盗難について：手口、検知、および企業の防御策

認証情報の窃取は、多くのセキュリティチームが対応できる速度をはるかに上回るペースで増加しています。「Verizon DBIR 2025」によると、確認された全侵害事例のうち22%が認証情報の窃取に起因しており、これは単一の攻撃ベクトルとしては最も高い割合です。一方、「Unit 42 2026 インシデント対応レポート」では、調査対象となった事例の90%において、ID管理の脆弱性が重大な要因となっていたことが明らかになりました。本ガイドでは、認証情報の窃取のライフサイクルを、初期の取得から悪用に至るまで詳細に解説し、その全容を MITRE ATT&CK の手法分類を網羅し、2026年以降、企業が認証情報ベースの攻撃から防御するために必要な検知および防止戦略を提供します。

資格情報の盗難とは何ですか？

認証情報の窃取とは、ユーザー名、パスワード、トークン、セッションクッキー、APIキー、証明書といった認証情報を不正に入手し、正当なユーザーになりすまして、システム、アプリケーション、データへの不正アクセスを行う行為を指します。認証情報を総当り攻撃で推測するブルートフォース攻撃とは異なり、認証情報の窃取は、既存の有効な認証情報を標的とします。 フィッシング、 マルウェア、ソーシャルエンジニアリング、あるいは不適切な認証情報の保管の悪用を通じて、既存の有効な認証情報を標的とします。

認証情報の盗難が重大な問題となるのは、攻撃者がそれを利用して、信頼された内部関係者として環境内を自由に移動できる「鍵」を手に入れることになるからです。Verizon DBIR 2025によると、確認された12,195件のインシデントのうち、全侵害の22%が認証情報の盗難に起因しており、これは他のいかなる初期アクセス経路よりも高い割合です。また、eSentire 2025 TRUレポートでは、アカウント侵害が前年比389%急増し、観測された全セキュリティインシデントの55%が有効な認証情報によって引き起こされたことが記録されています。 また、Unit 42の2026年インシデント対応レポートによると、IDの脆弱性（その多くは認証情報の盗難や侵害に起因する）が調査対象の90%で重要な役割を果たしており、初期アクセスの65%は特にIDを悪用したサイバー攻撃手法によって引き起こされていたことが明らかになった。

これらの数字は、根本的な変化を反映しています。攻撃者は、システムへの侵入よりもログインを選択する傾向が強まっており、認証情報の窃取が、データ漏洩、ランサムウェアの展開、サプライチェーンへの侵害に至るための主要な手段となっています。

認証情報の盗難と認証情報詰め込み攻撃

関連用語の違いを理解することは、正確な脅威モデリングを行う上で極めて重要です。

表：認証情報の盗難 vs 認証情報詰め込み攻撃 vs 認証情報の収集。

サービス全体でパスワードの再利用率が51%に達している（Verizon DBIR 2025）ことから、クレデンシャルスタッフィングは依然として極めて有効な攻撃手法である。しかし、これは広範な認証情報窃取の手法の一つに過ぎない。

認証情報の盗難がなぜ重要なのか

認証情報の盗用は、攻撃者がソフトウェアの脆弱性を悪用するのではなく、正当な身元情報を利用してシステムにアクセスできるため、最も効果的な攻撃手法の一つとなっています。有効な認証情報があれば、攻撃者は通常のユーザー活動に紛れ込むことができ、悪意のある行為の発見がはるかに困難になります。

組織がクラウドサービス、SaaSアプリケーション、ハイブリッド環境をますます導入するにつれ、IDは主要な標的となっています。たった1つのアカウント、認証トークン、またはAPIキーが侵害されるだけで、アカウント乗っ取り、権限昇格、横方向の移動、さらには機密データへのアクセスが可能になってしまいます。

セキュリティチームにとって、これは認証情報を保護するだけではもはや不十分であることを意味します。行動分析やID監視を通じて、盗まれた認証情報がどのように利用されているかを検知することは、データ漏洩やランサムウェア被害につながる前に攻撃を阻止するために、同様に重要です。

認証情報の盗難の手口

現代の認証情報窃取は、4つの明確な段階からなる産業化されたサプライチェーンとして機能しています。各段階を理解することで、セキュリティチームはあらゆる段階で検知対策を適切に配置できるようになります。

1. フィッシング。攻撃者はフィッシングを通じて認証情報を入手する フィッシング キャンペーンや、情報窃取型マルウェア、ソーシャルエンジニアリング、あるいは公開された認証情報ストアの悪用を通じて認証情報を取得します。 フィッシング月額200～300ドルで利用可能なフィッシング・アズ・ア・サービス（PhaaS）プラットフォームは、2025年に発生したアカウント侵害の63%を占め、中間者攻撃（AitM）の手法を用いて多要素認証（MFA）を迂回し、セッショントークンを盗み出していた（eSentire 2025）。
2. 収集。盗まれた認証情報は、認証情報ストア、OSのメモリダンプ、ブラウザのパスワード管理機能、およびネットワークの傍受から収集されます。情報窃取型マルウェア マルウェア は、2025年上半期に580万台の侵害されたホストから18億件の認証情報を収集し、これは前年同期比で800%の増加となった（Flashpoint 2025年インフォスティーラー分析）。
3. 検証。攻撃者は自動化ツールを使用して、収集した認証情報を対象サービスに対して大規模にテストします。認証情報検証ツールは、盗まれた認証情報の組み合わせを迅速に検証し、有効なアカウントと期限切れの認証情報を区別します。
4. 悪用。認証情報の不正利用により、アカウントへのアクセス、横方向の移動、権限昇格、データの持ち出し、およびランサムウェアの展開が可能になります。 2025年には、侵入の最速25％がわずか72分でデータ流出に至りました（2024年の285分から短縮）。一方、サイバー犯罪の平均侵入時間は29分に短縮されました（CrowdStrike 2026年グローバル脅威レポート）。

ダークウェブ上の認証情報取引は、この問題をあらゆる段階で増幅させている。2026年2月に発生した過去最大規模の漏洩事件では、160億件の認証情報がダークウェブ上に流出しており、ベライゾンの「DBIR 2025」によると、平均的なユーザーが各サービスで使用しているパスワードのうち、固有のものはわずか49%にとどまっていた。つまり、51%のパスワードが再利用されており、これが大規模なクレデンシャルスタッフィングを助長していることになる。

認証情報窃取攻撃の種類

攻撃者は、多岐にわたる認証情報窃取の手法を用いますが、そのMITRE ATT&CK （認証情報へのアクセス）として正式に分類されています。MITRE ATT&CK 、この戦術の下に17の手法と50以上のサブ手法が記載されています。主なカテゴリーは以下の通りです。

認証情報のダンプ (T1003). 攻撃者は、オペレーティングシステムのメモリ、Active Directory データベース、またはドメイン コントローラーのレプリケーションから直接認証情報を抽出します。その手法には、LSASS メモリの抽出などが含まれます（T1003.001)、NTDSファイルへのアクセス（T1003.003)、およびDCSync攻撃（T1003.006). Mimikatzのようなツールは、システムが侵害された後のシナリオにおいて、認証情報のダンプと関連付けられることが一般的です。

ブルートフォース攻撃 (T1110). パスワードスプレー攻撃 (T1110.003)は、アカウントのロックアウトを回避するために、多くのアカウントでよく使われるパスワードを試し、一方、クレデンシャルスタッフィング（T1110.004) 過去に侵害されたペアを悪用して、新たなサービスに対して攻撃を仕掛ける。

パスワードストアからの認証情報の収集 (T1555). 攻撃者は、ブラウザに保存された認証情報を狙います (T1555.003) およびパスワード管理ツール (T1555.005). によると、 Picus Red レポート 2026, T1555 （パスワードストアからの認証情報）は、分析対象となった全攻撃の23.49%で確認され、最も頻繁に確認される認証情報窃取の手法の1つとなっている。

フィッシング。 フィッシングでは、偽のログインページ、ビジネスメール詐欺、および音声 フィッシング を利用して、ユーザーを騙して認証情報を入力させます。PhaaSプラットフォームはこの攻撃手法を産業化しました。

Kerberoasting (T1558.003). 攻撃者はサービスアカウントのKerberosサービスティケットを要求し、オフラインで解読して平文のパスワードを復元することで、 権限昇格.

通信傍受 (T1557). 中間者攻撃（LLMNR/NBT-NS ポイズニングを含む）（T1557.001)、ネットワーク上の認証トラフィックを傍受し、転送中の認証情報を取得する。

未保護の認証情報 (T1552). プレーンテキストファイルに保存された認証情報（T1552.001) または、クラウドインスタンスのメタデータAPIを介してアクセス可能（T1552.005) は、システムへのアクセス権を持つ攻撃者によって直接取得されます。

MFAバイパス (T1556.006, T1621). 攻撃者は、認証プロセスを改変したり、プッシュ通知を繰り返し送りつけることでMFA疲労を悪用したりして、多要素認証による保護を回避します。

MITRE ATT&CK へのアクセスマッピング

以下の表は、MITRE ATT&CK 主要なMITRE ATT&CK アクセス手法と、それに対応する攻撃手法および検知手法を対応付けしたものです。

表：MITRE ATT&CK アクセス手法（TA0006）と検知手法の対応関係。

「Picus Red Report 2026」では、ランサムウェアの展開が38％減少したことも指摘されており、これは、攻撃者が目立つ手法を展開するのではなく、盗んだ認証情報を利用して持続的かつステルス的なアクセスを維持する、認証情報を利用した「サイレント・レジデンシー」への広範な移行を示唆している。 マルウェアを展開するのではなく、盗んだ認証情報を利用して持続的かつステルス的なアクセスを維持する「サイレント・レジデン

新たな資格情報の盗難経路

認証情報の盗難は、従来のパスワード盗難にとどまらず、急速に様相を変えつつあります。競合他社が見落としがちないくつかの攻撃経路が、企業にとってのリスクとして高まっています。

トークンおよびセッションの盗用 (T1539, T1528）。現代の認証情報窃取では、パスワードよりも認証トークンやセッションクッキーが標的となるケースが増えています。セッションクッキーが盗まれると、攻撃者はすでに認証済みのセッションを引き継ぐことになるため、多要素認証（MFA）を完全に迂回できてしまいます。また、OAuthトークンの悪用により、パスワードのリセット後も有効なAPIへの永続的なアクセス権が得られてしまいます。組織がクラウドファーストやSaaSを多用するアーキテクチャを採用するにつれ、この攻撃手法は増加傾向にあります。

マルウェア 。情報窃取型マルウェアはWindowsからmacOSへと拡大しており、マイクロソフトの研究者らは、ファイルレス実行やAppleScriptによる自動化を利用するDigitStealer、MacSync、AMOSといったクロスプラットフォーム型の亜種を報告している。ClickFix（偽のCAPTCHAトラップ）のような新たな感染経路は、従来の電子メールセキュリティ対策を回避している。

AIを利用した認証情報の窃取。 IBM X-Force 2026 Threat Indexによると、ダークウェブ上で30万件以上のChatGPT認証情報が確認され、攻撃件数は全体で44%増加した。盗まれた認証情報は、エージェント型AIシステムを悪用するために利用されており、SecurityWeekが「爆風半径問題」と表現するように、侵害された認証情報によって個々のアカウントだけでなく、自動化されたワークフロー全体へのアクセス権が与えられてしまう。 AIエージェントがサービスアカウントの権限を継承するため、エージェント型AIのセキュリティは重大な懸念事項となりつつある。

クラウド認証情報の標的型攻撃。認証情報の窃取は、クラウドセキュリティインフラに対する主要な攻撃手法であり、Thalesの報告によると、組織の67%がこれの影響を受けている。Unit 42の2026年レポートによると、クラウドユーザー、ロール、サービスの99%に過剰な権限が設定されており（60日以上使用されていないアクセス権を含む）、これにより、盗まれたクラウド認証情報による攻撃の標的となる領域が広範囲に及んでいる。

認証情報の盗難によく見られる兆候

攻撃者はシステムを直接悪用するのではなく、正当な認証情報を使用するため、認証情報の盗難はしばしば見過ごされがちです。単発の事象だけでは無害に見えるかもしれませんが、通常とは異なる認証やユーザーの行動が組み合わさっている場合は、認証情報が漏洩している可能性を示唆している可能性があります。セキュリティチームは、次のような兆候がないか調査する必要があります。

• 通常とは異なる場所からのログイン試行、あるいは移動経路として不自然な状況でのログイン試行。
• 認証の失敗が繰り返し発生した後、ログインに成功した。
• ユーザーから報告された、予期せぬ多要素認証（MFA）の要求。
• 見慣れないデバイス、ブラウザ、またはIPアドレスからのログイン。
• 通常とは異なる権限の昇格、またはそのアカウントが通常使用しないシステムへのアクセス。
• 承認なしに作成された新しいAPIトークン、セッショントークン、またはOAuth権限。
• 通常の勤務時間外における機密データやクラウドリソースへのアクセス。
• 通常とは異なる時間帯や、複数の地理的場所をまたいで発生する認証活動。

攻撃者は、正当なユーザーに紛れ込むために有効な認証情報をますます多用しているため、こうした行動上の兆候は、多くの場合、進行中の認証情報窃取攻撃の最も初期の兆候となります。これらを迅速に検知することで、セキュリティチームは、攻撃者が横方向の移動、持続化、またはデータ持ち出しを行う前に、侵害されたアカウントの被害を封じ込めることができます。

実例としての認証情報の盗難

実際の侵害事例は、認証情報の盗難が、初期アクセスから壊滅的な影響に至るまでどのように進行するかを示しています。これらの事例には共通のパターンが見られます。すなわち、たった1つの認証情報の盗難、多要素認証（MFA）の欠如または回避、そしてそれに伴う甚大な二次的影響です。

Snowflakeのデータ漏洩事件（2024年）。 攻撃者グループUNC5537は、情報窃取型マルウェアを通じて盗み出した認証情報を使用した マルウェア （一部は2020年に遡るもの）を利用して、AT&T、Ticketmaster、Santander Bankを含む約160のSnowflake顧客インスタンスにアクセスした。影響を受けたアカウントのいずれも多要素認証（MFA）が有効化されていなかったため、数年前に盗まれた認証情報による単一要素認証が可能となっていた。攻撃の連鎖は、情報窃取型マルウェアへの感染から認証情報の収集、ダークウェブでの販売、そして160の組織にわたるアカウント乗っ取りおよびデータ流出へと進展した。 （Cloud Security Allianceの分析、Google/MandiantのUNC5537分析）

図：Snowflakeの侵害攻撃の連鎖。情報窃取型マルウェアへの感染（2020年）から、認証情報の収集、ダークウェブでの販売、多要素認証（MFA）なしでのアカウントへのアクセス、160のインスタンスにわたるデータ流出、そしてAT&T、Ticketmaster、Santanderへの二次的な影響に至るまでの経緯を示している。キャプション：「Snowflakeの侵害攻撃の連鎖：数年前に盗まれた認証情報が、いかにして大規模なサプライチェーン侵害を可能にしたか」。

PowerSchoolの情報漏洩事件（2025年1月）。多要素認証（MFA）による保護が施されていなかった1組の認証情報が侵害されたことで、攻撃者はPowerSchoolのカスタマーサポートポータルにアクセスし、最終的に18,000校に及ぶ約6,200万人の生徒および教員の個人データ（社会保障番号や医療情報を含む）が流出しました。（TechTargetによるPowerSchoolの分析）

ShinyHuntersのSSO攻撃キャンペーン（2026年1月）。脅威グループShinyHunters（UNC6661として追跡）は、高度化したボイスフィッシング の手法を用いて約100の組織を標的とし、OktaのSSO認証情報を窃取するとともに、攻撃者が制御するデバイスを被害者のMFAに登録した。標的にはAtlassian、Canva、Epic Games、HubSpot、ハーバード大学、ペンシルベニア大学などが含まれていた。攻撃者はリアルタイムのWebパネルを使用して動的に操作を行った フィッシング ページを動的に操作し、被害者と電話で会話しながら攻撃を実行した。これは、従来のプッシュ型MFAではもはや不十分であることを示している。（ShinyHunters SSOキャンペーン；Google/MandiantによるShinyHunters分析）

コロニアル・パイプライン（2021年）。攻撃者は、多要素認証（MFA）が設定されていない旧式のアカウントから盗み出した1組のVPN認証情報を利用してコロニアル・パイプラインのネットワークに侵入し、DarkSideランサムウェアを展開した。これにより、米国東海岸全域での燃料供給が6日間停止した。この事例は、有効な認証情報を持つ休眠アカウントが重大な攻撃対象領域となることを示している。

これら4件のインシデントに共通するパターンは明らかです。認証情報の盗難に加え、多要素認証（MFA）が導入されていない、あるいは回避可能な状態にあること、さらに管理されていない休眠状態の認証情報が存在することで、単一障害点が生じ、これらが横方向の移動、サプライチェーンの悪用、そして壊滅的なデータ漏洩を可能にしているのです。

資格情報の盗難がビジネスに与える影響とコスト

認証情報に基づく情報漏洩は、測定可能な金銭的・業務上のコストを伴うため、認証情報の盗難を検知・防止するための対策への投資が正当化される。

表：2025年から2026年にかけての認証情報盗難によるビジネスへの影響の定量化。

また、Flare Researchの2026年レポートによると、企業のID情報が漏洩するケースは2倍以上に増加しており、2024年初頭のインフォスティーラー感染事例における割合が6％だったのに対し、2025年末には14％近くにまで上昇した。 認証情報の盗難とランサムウェアの間には直接的な関連性がある。ランサムウェア被害者の54％は、以前に情報窃取型マルウェアのログで認証情報が漏洩しており、そのうち40％には企業のメールアドレスが含まれていた（Verizon DBIR 2025）。

これらのサイバーセキュリティ指標は、ある根本的な課題を浮き彫りにしています。すなわち、認証情報を利用した攻撃は、被害額も最も大きく、検知にも最も時間がかかるため、組織が侵害を特定して封じ込めるまでに、攻撃者に10ヶ月近くもの潜伏期間を与えてしまうのです。

認証情報の盗難の検知と防止

認証情報の盗難を効果的に防ぐには、多層的な検知および防止策が必要です。その目的は、認証情報が侵害される可能性と、侵害後の侵入者の滞在時間を双方とも低減することにあります。

検出手法

振る舞い 。地理的に離れた場所からのログインが不可能なほど短い時間間隔で行われる「不可能な移動」や、不自然なログイン時間、異常なリソースアクセス、不審な権限昇格など、異常な認証パターンを監視します。振る舞い 、静的ルールやシグネチャベースのツールでは検知できない認証情報の悪用を捕捉します。

ID脅威の検知と対応 （ITDR）。ITDRプラットフォームは、IDレイヤーにおける認証情報の悪用を検知します。具体的には、セッションの異常、認証プロトコルの悪用、権限昇格、およびIDを悪用した横方向の移動をリアルタイムで監視します。ITDRはSIEMやSOARと連携し、認証情報の盗難を示す兆候が確認された際に、対応プレイブックを自動的に実行します。

ネットワーク検知・対応 (NDR)。ネットワークトラフィック分析により、認証情報の流出、コマンド＆コントロール通信、および盗まれた認証情報を利用した横方向の移動を検知し、エンドポイントエージェントが侵害されたり存在しなかったりする場合でも可視性を提供します。

ハニートークンとカナリア認証情報。環境全体に偽の認証情報を配置します。攻撃者がハニートークンを使用しようとすると、認証情報の盗難が進行中であることを確認する、信頼性の高いアラートが生成されます。

予防措置

組織は、認証情報の盗難を防ぐために、以下の対策を実施すべきである。各ステップは、認証情報盗難のライフサイクルの特定の段階に対応している。

1. デプロイ フィッシングすべてのアカウントにフィッシング対策機能を備えた多要素認証（FIDO2/パスキー）を導入する
2. NIST SP 800-63Bに基づき、侵害された認証情報データベースとパスワードを照合する
3. ジャストインタイムのプロビジョニングによる特権アクセス管理の導入
4. 導入 zero trustNIST SP 800-207に準拠した継続的な検証を伴うゼロトラストアーキテクチャを採用する
5. ダークウェブを監視し、組織の認証情報の流出を検知する
6. 使用されていないアカウントの権限を解除し、認証情報のライフサイクル管理を徹底する
7. パスワードマネージャーを導入し、パスワードの流用を防止する（Verizon DBIR 2025によると、パスワードの流用率は51%）
8. 従業員に対し、ソーシャルエンジニアリングやボイスフィッシングを見抜くための研修を実施する フィッシング

フィッシング-フィッシング対策機能を備えた多要素認証（MFA）を新たな基準として

SMSコード、プッシュ通知、TOTPといった従来の多要素認証は、ますます回避されやすくなっています。ShinyHuntersによるSSOキャンペーンでは、音声を利用したリアルタイムのMFA回避が実証されました フィッシング および攻撃者が制御するデバイスの登録によるリアルタイムのMFA回避を実証した（Google/MandiantによるShinyHuntersの分析）。

NISTは、強固な認証の標準として、 フィッシング認証手段――具体的にはFIDO2/WebAuthnおよびパスキー――を推奨しています。CISAは、FIDO2を導入した連邦政府機関の成功事例を公表しており、新たなコンセンサスは明確です。組織は フィッシング耐性のある多要素認証（MFA）を導入すべきであり、資格情報の盗難手法によって破られる可能性のある従来のMFA手法に依存すべきではない、という点が明確になっています。

認証情報の盗難とコンプライアンス

認証情報の盗難対策は、主要なセキュリティフレームワークやコンプライアンス基準の要件と直接対応しています。以下の対応表は、GRCチームが認証情報の保護への投資と監査証拠を結びつけるのに役立ちます。

表：主要なコンプライアンス・フレームワークに対応した認証情報の盗難防止対策。

今後の動向と新たな考察

認証情報の盗難に関する状況は急速に変化しています。今後12～24カ月の間に、いくつかのトレンドが、組織による認証情報の保護および検知への取り組み方を左右することになるでしょう。

AIを活用した認証情報攻撃。「CrowdStrike 2026年グローバル脅威レポート」では、AIを活用した攻撃者の活動が89％増加したことが報告されており、「IBM X-Force 2026年脅威インデックス」では、攻撃件数が全体で44％増加したと報告されています。AIにより、攻撃者はより説得力のあるphishing 大規模に展開し、認証情報の検証を自動化し、侵害後の悪用を加速させることが可能になっています。 2026年2月に、AIエージェントの認証情報を標的とした最初の情報窃取型マルウェアが発見されたことを受け、AIエージェントの認証情報窃取という新たな攻撃手法の出現は、攻撃対象領域が自律システムへと拡大していることを示唆している。

パスキーとFIDO2の導入加速。従来の多要素認証（MFA）がますます容易に回避可能になっていることから、企業におけるパスキーやFIDO2ハードウェアトークンの導入が加速するでしょう。規制面での圧力も高まっています。NIST SP 800-63 Rev. 4の更新や、2026年に施行されるEUのNIS2指令により、新たな フィッシング対策が導入される可能性がある。

ランサムウェアから「サイレント・レジデンシー」への移行。「Picus Red Report 2026」によると、ランサムウェアの展開は38%減少しており、攻撃者は目立つランサムウェアを展開するよりも、盗んだ認証情報を利用して、データ窃取やスパイ活動のために持続的かつステルス的なアクセス権を維持する傾向が強まっている。この変化に対応するには、長期間にわたり認証情報の悪用パターンを特定する振る舞い 求められる。

NDRとITDRの融合。ネットワーク、アイデンティティ、クラウドの各レイヤーにおける検知機能が統合されつつあります。組織は、ハイブリッド環境全体にわたる認証情報の盗難を検知するために、アイデンティティのシグナル（不自然な移動、権限の昇格、異常な認証）とネットワーク上の挙動（横方向の移動、データの持ち出し）、およびクラウドのテレメトリを相関分析できるプラットフォームを優先的に導入すべきです。

準備に関する推奨事項。組織は フィッシング- すべてのアカウント（特権アカウントおよびサービスアカウントを優先）においてフィッシング対策機能を備えた多要素認証（MFA）の導入を加速し、ダークウェブへの流出に対する継続的な認証情報の監視を実施し、シグネチャに依存せずに認証情報の悪用を検知する振る舞い 投資を行い、認証情報の盗難ライフサイクル全体を網羅したインシデント対応プレイブックを策定すべきである。

資格情報の盗難を防ぐための最新の手法

業界では、認証情報の盗難に対抗するためのいくつかの防御機能に焦点が当てられています。具体的には、IDベースの攻撃をリアルタイムで検知するITDRプラットフォーム、シグネチャに依存せずに認証情報の不正利用を検知する振る舞い 、ネットワークレベルの可視性を実現するID相関機能を備えたNDR、認証情報に関するインシデント対応を自動化するSIEM/SOAR、そして継続的な認証を徹底するzero trust 。

最も効果的なアプローチには、共通の原則があります。それは、認証情報が侵害されることを前提とし、攻撃者が初期アクセスに成功した後、目的を達成する前に検知・対応できる体制を構築することです。つまり、ネットワーク、アイデンティティ、クラウドの3層にわたる統合的な可観測性を確保し、これら3つのレイヤーにわたるシグナルを相互に関連付けることで、実際の認証情報の悪用を明らかにすることです。

Vectra AI 認証情報盗難対策Vectra AI

Vectra AIの攻撃シグナルインテリジェンスは、ネットワーク、ID、クラウド全体にわたる攻撃者の振る舞いを分析し、従来のツールでは検出できない認証情報窃盗の手法を検出します。このプラットフォームは、IDベースのシグナル（あり得ない移動、権限昇格、異常な認証パターンなど）をネットワークの挙動と関連付け、実際の認証情報悪用を明らかにし、アラートノイズを削減しながら脅威の検知と対応を加速します。MITRE D3FENDで12件の参照実績（他のどのベンダーよりも多い）とサイバーセキュリティAI分野で35件の特許を持つVectra AIは、SOC運用チームが認証情報ベースの攻撃が侵害に発展する前に捕捉するために必要なシグナルの明確さを提供します。Vectra AIのITDRとNDR機能がどのように連携してハイブリッド環境全体で認証情報窃盗から防御するかをご覧ください。

結論

認証情報の盗難は、単なる一つの攻撃手法にとどまりません。これは、攻撃者が企業環境に侵入し、潜伏し、内部を移動するために用いる主要な経路なのです。全情報漏洩の22％が認証情報の盗難に起因し、わずか6か月間で情報窃取型マルウェアによって18億件もの認証情報が収集され、情報漏洩による損害額は平均480万ドルに達していることから、この脅威は広範かつ数値化可能なものであることがわかります。

SnowflakeからPowerSchool、ShinyHuntersに至るまで、あらゆる大規模な侵害事例に見られる共通の傾向は、一つの明確な教訓を浮き彫りにしています。それは、「予防策だけでは不十分」だということです。組織は、認証情報が侵害されることを前提とし、攻撃者が横方向の移動、データの持ち出し、あるいはランサムウェアの展開を行う前に、認証情報の悪用を早期に検知できる検知機能に投資する必要があります。つまり、 フィッシング攻撃に耐性のあるMFAを最低限の要件とし、ID層とネットワーク層を横断する振る舞い 、そしてハイブリッド環境全体にわたる統合的な可観測性を確保する必要があります。

資格情報の盗難を単なる「防止すべき問題」ではなく「シグナルとなる問題」として捉えている組織こそが、数ヶ月ではなく数分で攻撃を検知できるのです。

Vectra AI 、ネットワーク、ID、クラウド全体で認証情報を利用した攻撃をどのようにVectra AI をご覧ください。