Passkey時代の次の攻撃面 ― 登録・回復フローを狙うSocial Engineering
Executive Summary
Okta Threat Intelligenceは2026年7月、攻撃者が利用者を電話等で誘導し、攻撃者が開始したMFA登録やPassword Resetを被害者自身に承認させる活動が増えていると報告しました。O-UNC-066ではPasskey登録を口実に、攻撃者管理のPasskeyをEntra Accountへ登録させる手法が観測されています。1
これはPasskeyの暗号方式が破られたのではありません。強固なAuthenticatorを守っても、そのAuthenticatorを追加・再登録するEnrollment / Recovery Processが弱ければAccount Takeoverが成立するという問題です。
なぜ今なのか
Phishing-resistant MFAを導入すると、Password + OTPを盗んでReplayする従来型Attackは難しくなります。
攻撃者はその代わりに、以下の「正規フロー」を狙います。
- Passkey / MFAの追加登録
- Self-Service Password Reset
- HelpdeskによるRecovery
- Device Registration
- MFA Method変更
認証の強度が上がるほど、LifecycleとRecoveryが新しい最弱点になります。
何が起きているのか
Oktaは、Passkeyを文字列として盗むのではなく、利用者をSocial Engineeringで誘導して「攻撃者側のAuthenticatorを正規登録させる」活動を観測しています。
また別のClusterでは、攻撃者が被害者へ電話しながらForgot Password Flowを同時実行し、Phishing-resistantでないMFA要素を使って本人確認を通す方法が報告されています。
経営インパクト
| 観点 | 影響 |
|---|---|
| Authentication Strategy | Passkey導入だけでAccount Takeover Riskはゼロにならない |
| Helpdesk Risk | Recovery担当者・本人確認手続きが攻撃対象になる |
| Persistence | 攻撃者Passkeyが登録されると長期的な正規アクセスになり得る |
| Detection | 「成功ログイン」よりAuthentication Method変更の監視が重要 |
日本企業への示唆
Passkey導入Projectでは、Login Flowだけでなく、登録、紛失、機種変更、Helpdesk Recovery、退職・異動、Authenticator削除までを設計範囲に含める必要があります。
とくに電話での本人確認や「利用者が操作できるから本人」という前提は見直す必要があります。
推奨アクション
- Passkey / MFA追加登録をHigh-risk Eventとして監視する
- Authentication Method変更時に既存の強固なFactorで再認証する
- Helpdesk Recoveryの本人確認を強化し、例外手続きを監査する
- SSPRでPhishable Factorだけによる回復を避ける
- 新規Authenticator登録後のRisk-based Restrictionを検討する
- ITDRでEnrollment / Recovery / Sessionを連続的に監視する
用語解説
Enrollment Attack
AuthenticatorやMFA Methodの追加登録フローを悪用し、攻撃者管理の認証手段を正規登録する攻撃。
Recovery Attack
Password Reset、Account Recovery、Helpdesk等の回復手続きを迂回路として悪用する攻撃。