認証バイパスとは？手法と事例

認証バイパスとは何か？

認証バイパスは、攻撃者が有効な認証情報を提示せずにシステム、アプリケーション、またはリソースへアクセスできてしまう脆弱性です。暗号化を破ったりパスワードを解読したりするのではなく、攻撃者はシステムを騙して既に認証済みであると信じ込ませたり、認証機構自体を完全にスキップしたりします。

親となる弱点であるCWE-287は、製品が認証を正しく実装していないため、攻撃者が他のユーザーの身元を引き受けることができるというコア条件を定義しています。すべての個別のバイパスサブタイプは、MITRE CWE階層内でこの分類に該当します。

認証バイパスは、近年最も深刻な侵害の原因となっています。SecurityWeekによると、2023年にMOVEit Transferを悪用したCl0pランサムウェアキャンペーンは、多くの組織や個人に影響を与えました。CISAのアドバイザリによれば、LockBit 3.0のアフィリエイトは「Citrix Bleed」脆弱性を利用し、ユーザー名、パスワード、MFAトークンなしでセッションを確立しました。

 OWASP WSTGは、コアメカニズムを説明しています。リクエストを改ざんし、アプリケーションを騙してユーザーが既に認証済みであると信じ込ませることで、認証をバイパスできる場合が多くあります。攻撃者は、URLパラメータの変更、フォームの操作、セッションの偽造などによってこれを実現します。

これらのバイパスがどのように機能するかを理解すれば、より効果的に防ぐことができます。

認証バイパスはどのように機能するか？

認証バイパスは、システムが身元を検証する方法の弱点を突きます。攻撃者は認証ゲートに正面から挑むのではなく、その周囲や内部、あるいは下を通る方法を見つけます。

コアメカニズム

すべての認証システムは基本的なフローに従います。ユーザーが認証情報を提示し、システムがそれを検証し、セッショントークンを発行またはアクセスを許可します。認証バイパスはこのフローのいずれかのステップを標的とします：

1. 認証を完全にスキップする。 攻撃者は、認証ゲートが存在しない機能、APIエンドポイント、または別のインターフェースにアクセスします。認証チェックのないREST APIやデバッグポートは、誰でも重要なリソースに直接到達できてしまいます。
2. 認証入力の操作。 攻撃者は、システムが身元の証拠として信頼しているクライアント側データを改ざんします。Cookie値を「LOGGEDIN」に設定したり、隠しフォームフィールドを「admin=true」に変更したりすることで、設計が不十分なシステムを騙してアクセスを許可させます。
3. ロジックの欠陥を悪用。 認証コードが誤ったブール論理を使用したり、条件の評価順序が間違っていたり、エッジケースの処理に失敗したりします。認証条件式の演算子の誤りにより、本来失敗すべきチェックが通過してしまうことがあります（CWE-303）。
4. 有効なセッションの乗っ取り。 攻撃者が正規のセッショントークンを傍受またはリプレイします。システムにノンス検証やタイムスタンプチェック、リプレイ防止がなければ、取得したトークンで元のユーザーと同じアクセス権が得られます。
5. リカバリ機構の悪用。 パスワードリセットフローにスロットリングがなく、推測可能なセキュリティ質問や、第二チャネルによる身元確認がない場合、攻撃者は元のパスワードを知らなくてもアカウントを乗っ取ることができます。

これらのメカニズムは、実際のインシデントで記録されています。以下の例は、最も一般的なパターンの一つを具体的なシナリオで示します。

段階的な攻撃フロー

強力な認証の背後に管理インターフェースを持つWebアプリケーションを考えます。/api/v2/admin/configという内部APIエンドポイント（開発ツール用に構築）が、同じ認証ゲートの背後に配置されていませんでした。

攻撃者はディレクトリエニュメレーションでこのエンドポイントを発見し、細工したHTTPリクエストを送信すると、サーバーは設定データを返し、管理者権限を付与します。ログインページは一切触れられていません。

このパターンは CWE-306にマッピングされ、実際の攻撃で繰り返し確認されています。どのタイプのバイパスが存在するかを知ることが、攻撃経路と適切な対策の両方を決定します。

認証バイパスの種類

認証バイパスは単一の脆弱性ではなく、CWE-287の下に分類される複数の弱点群です。各タイプは認証フローの異なるポイントを悪用し、それぞれに異なる防御策が必要です。

これらのタイプは排他的ではありません。単一のシステムが複数のバリエーションを同時に持つことがあり、連鎖的な攻撃では二つ以上が組み合わされることが頻繁にあります。どのタイプが存在するかを理解することが、正確な脅威モデル構築の第一歩です。

認証バイパスの主な原因

認証バイパスは単一の欠陥から生じるものではありません。設計、実装、運用上のさまざまな失敗が、システムの身元検証にギャップを生み出します。

認証ゲートの欠如または不完全

REST API、管理コンソール、デバッグポート、IoT UARTインターフェースなど、重要な機能に認証要件がありません。 CWE-306は、実際の事例を記録しています。認証のないワークフローAPI（CVE-2020-13927、CISAの既知悪用脆弱性カタログ掲載）や、認証なしファイルアップロードによるVMwareリモートコード実行（CVE-2021-21972、同CISA KEV掲載）などです。

代替経路の露出

システムは主要インターフェースで認証を要求しますが、二次経路では同じ制御が適用されていません。 CWE-288がこのパターンを捉えており、エンタープライズソフトウェアの本番環境で最も悪用されやすい根本原因の一つです。

クライアント側データへの信頼

Cookie、隠しフォームフィールド、URLパラメータを認証証拠として利用するシステムは、容易にバイパスされます。 CWE-302がこの弱点を定義しています。

ハードコードおよびデフォルト認証情報

ファームウェア、ソースコード、工場出荷時設定に埋め込まれた認証情報は、恒久的なバックドアを生みます。 CWE-798は CWE Top 25 Most Dangerous Software Weaknesses (2024)にも掲載されています。StuxnetキャンペーンはSCADAシステムのハードコード認証情報（CVE-2010-2772）を悪用し、ルーターファームウェアのデフォルトパスワードも依然として侵入経路となっています。

セッション管理の失敗

ログイン後にセッションIDが再生成されない場合、攻撃者はセッション固定化（CWE-384）を悪用できます。攻撃者が被害者の認証前に既知のセッションIDを設定し、ログイン後にそのIDが被害者の認証済みセッションとなります。

暗号制御の弱さ

ノンス検証、タイムスタンプチェック、チャレンジレスポンス機構が実装されていないシステムは、キャプチャ・リプレイ攻撃（CWE-294）に脆弱です。傍受された認証トークンは無期限にリプレイ可能です。

リカバリ機構の欠陥

スロットリングのないパスワードリセットフロー、メール誤送信の脆弱性、SNSプロフィールから答えが推測できるセキュリティ質問などにより、攻撃者は認可なしで認証情報をリセットできます（CWE-640）。

これらの根本原因は、不正アクセスを超える深刻な影響をもたらします。

認証バイパスの影響とリスク

認証バイパスは孤立した脆弱性ではありません。これは、認証情報の窃取、ラテラルムーブメント、データ流出、ランサムウェア展開へとつながる攻撃チェーンの入口です。

その実際の影響に関するデータは、主要な業界レポートで一貫しています：

• 盗まれた認証情報は、他のベクターと比較して依然として非常に一般的な初期アクセス手法であると 2025 DBIRで報告されています。
•  IBM breach reportによれば、世界平均の侵害コストは数百万ドル規模です。
• VPNやエッジデバイスは、同じ報告期間中に攻撃者の注目を集め続けました（ 2025 DBIR）。
• 企業認証情報が発見された侵害システムには、標準的なエンタープライズのパッチ・監視ワークフローの外にある非管理型BYOD（私物端末）エンドポイントも含まれていました（ 2025 DBIR）。

攻撃者の手法を理解すれば、それに対するより強固な防御を構築できます。

攻撃者が認証バイパスを悪用する方法

攻撃者は、 ATT&CK frameworkにマッピングされた複数の文書化された手法を通じて認証バイパスを利用します。現代の攻撃では単一のCVEだけでなく、複数CVEの連鎖が一般的です。

認証プロセスの改変（T1556）

T1556は、認証情報を悪用するのではなく、認証機構自体を直接破壊する手法をカバーします。エンタープライズ環境では、以下の3つのサブテクニックが特に多く見られます：

• Skeleton Key攻撃（T1556.001）: ドメインコントローラー上のLSASS（Local Security Authority Subsystem Service）を攻撃者制御の認証情報でパッチし、次回再起動まで任意のドメインユーザーとして認証可能にします。
• MFAバイパス（T1556.006）: hostsファイルの改変でMFAコールをlocalhostにリダイレクトし、MFAがサイレントに失敗しても認証が進行します。
• ハイブリッドID悪用（T1556.007）: 侵害されたEntra IDグローバル管理者アカウントを使い、新たなパススルー認証エージェントを登録して認証情報を収集します。

これらのサブテクニックは、認証判断がオンプレミスとクラウドに分散するハイブリッドID環境で特に有効です。

有効なアカウントの悪用（T1078）

攻撃者は既存アカウントの認証情報を取得・悪用します。これはCWE-798（ハードコード認証情報）やCWE-1392（デフォルト認証情報）に直接対応します。システムが工場出荷時の認証情報のまま出荷されると、攻撃者はコードレベルの脆弱性を突かずともアクセスできます。

認証情報ブルートフォースおよびスプレー（T1110）

3つの異なる攻撃タイプがあり、それぞれ異なる防御策が必要です：

• ブルートフォース: 単一アカウントに対して複数のパスワードを試行。アカウントごとのロックアウトで検知可能です。
• クレデンシャルスタッフィング: 流出データから得たユーザー名とパスワードのペアを複数アカウントで試行。
• パスワードスプレー: 単一の弱いパスワードを多数のアカウントで試行。このパターンはアカウントごとのロックアウト閾値を完全に回避します（ OWASP認証ガイド参照）。

3つすべてに対する独立した制御が必要です。ブルートフォースを止めるロックアウトポリシーでは、数千アカウントに分散した低頻度スプレーは検知できず、どちらの方法も認証情報自体が有効な場合のクレデンシャルスタッフィングは検知できません。

Web認証情報の偽造（T1606）

攻撃者は、クラウドAPIトークンや事前認証キーなどの偽造認証情報を生成し、MFAや他の認証保護をバイパスします。

実際のマルチCVE連鎖

最近の影響力の大きいキャンペーンの多くは、明示的なCVE連鎖を利用しています：

• Cisco IOS XE（2023年）: CVE-2023-20198で初期アクセスと特権コマンド実行を獲得し、CVE-2023-20273でroot権限昇格とLuaベースのバックドア設置を実現。
• Ivanti Connect Secure（2024年）: 4つのCVE連鎖（CVE-2023-46805、CVE-2024-21887、CVE-2024-21893、CVE-2024-22024）で認証なしコマンド実行を達成し、Ivanti独自の整合性チェッカーを操作して検知を回避。
• ロシアAPT（2020年）: CVE-2018-13379でFortinet SSL VPNから平文認証情報を抽出し、CVE-2020-1472（Netlogon）と連鎖してドメイン権限昇格を実現（ CISAアドバイザリ参照）。

SOCチームにとって、認証バイパスCVEのアラートトリアージは、単独CVE対応ではなく、連鎖する脆弱性悪用の相関クエリを即座に促すべきです。誰がこれらの攻撃に直面しているかを知ることで、防御の優先順位付けが可能になります。

認証バイパスの影響を受けるのは誰か？

一部の業界やアプリケーションタイプは、特に高いリスクにさらされています。

最もリスクの高い業界

業界レベルの侵害データは、複数の報告サイクルで一貫したパターンを示しています。特定のセクターは、インターネット公開サービスへの依存、認証情報を多用するワークフロー、高価値データストアの存在により、年々高いリスクに直面しています。

最も標的となるアプリケーションタイプ

特定業界を超えて、いくつかのアプリケーションやインフラカテゴリは、セクターを問わず高いリスクを持ちます。以下は、主要な侵害データセットやCISAアドバイザリで頻出するものです：

• VPN・エッジデバイス: 標的型攻撃が年々大幅に増加。
• Webアプリケーション: ブルートフォースや認証情報ベースの攻撃が2025 DBIRで継続的に報告。
• Active Directory・IDインフラ: サプライチェーン侵害でIDプロバイダー悪用が拡大（ ENISA 2024）。
• クラウドサービス・API: CISAは、認証なしのTCPベースPLCやBluetoothデバッグUART（シリアルインターフェース）ポートでのIoT・OT認証バイパスを記録。
• 非管理型BYODエンドポイント: 侵害された個人端末は、企業の可視性の範囲外となる場合があります。

これらのアプリケーションカテゴリは、CISAの既知悪用脆弱性リストに毎年登場しています。以下のインシデントは、攻撃者が実際にこれらへ到達した場合の悪用例です。

認証バイパスの実例

以下のインシデントは、複数の業界・攻撃グループ・バイパスタイプにまたがります。それぞれが、前述のメカニズムが組織にどのような影響を与えるかを示しています。

Citrix Bleed（CVE-2023-4966）

細工したHTTP GETリクエストの悪意あるHostヘッダーにより、Citrix NetScaler ADCおよびGatewayアプライアンスが有効なセッションクッキーを含むシステムメモリを返しました。LockBit 3.0アフィリエイトや他の脅威グループは、ユーザー名・パスワード・MFAトークンなしで認証済みセッションを確立するためにこれを利用しました。Citrixがパッチを公開する前から悪用が始まっていました。 CISAアドバイザリによれば、GreyNoiseは大規模な悪用活動を観測しています。

MOVEit Transfer（CVE-2023-34362）

Cl0pランサムウェアグループ（CISAによるTA505追跡）は、Progress MOVEit Transferの認証不要なSQLインジェクション脆弱性を、公開前から数週間にわたり悪用しました。このキャンペーンは最終的に多くの組織・個人に影響を与えました（ SecurityWeek）。

Barracuda ESG（CVE-2023-2868）

Mandiantが中国国家支援グループと推定するUNC4841は、Barracuda Email Security Gatewayアプライアンスのゼロデイを数カ月間悪用していました。Barracudaは影響を受けたアプライアンスの物理交換を要求しました（ BleepingComputer）。

Fortinet FortiOS（CVE-2022-40684）

認証不要の攻撃者が、細工したHTTP/HTTPSリクエストで管理インターフェース上の操作を実行可能でした。Fortinetは脆弱性公開時にアクティブな悪用を確認し（ Hacker News）、多くのファイアウォール設定がこのCVE経由で流出しました。

これらのインシデントは、認証バイパスがどのように進化してきたかを示すタイムラインにまたがっています。

認証バイパスのタイムライン

認証バイパスは、以下の各年で積極的に悪用されており、攻撃者のツールや標的選定は多くの組織のパッチ適用速度を上回っています。このタイムラインは、2010年以降この脅威クラスがどのように発展してきたかを示します。

このタイムライン全体で一貫しているのは、認証バイパスが既知の手法を新製品・新プラットフォームに適用することで、範囲と深刻度が拡大し続けていることです。効果的な防御には多層的なアプローチが必要です。

認証バイパスの検出方法

これらのバイパスを見つけるには複数の手法が必要です。単一の方法ですべてのバリエーションを検出することはできません。以下の方法を同時に実施すべきです。

攻撃パターン認識

各攻撃タイプごとに個別の識別ロジックが必要です。アカウントごとのロックアウトポリシーだけでは パスワードスプレーは検出できません：

• ブルートフォース: 単一アカウントへの大量失敗。
• クレデンシャルスタッフィング: 多数アカウントに分散した失敗で、既知流出データと一致。
• パスワードスプレー: 単一の弱いパスワードを多数アカウントで低頻度試行。アカウントごとのロックアウト閾値を完全に回避します。

各パターンごとに個別の検出ロジックを維持することが最低限必要です。単一の閾値に依存すると、その閾値外の攻撃タイプは検出されません。

行動・リスクシグナル分析

アダプティブ認証は、ログインコンテキストに応じて要件を動的に調整します。 OWASP MFAガイドは、認証フロー内で地理情報、IPレピュテーション、デバイスフィンガープリント、アクセス時刻、既知流出認証情報などのリスクシグナル監視を推奨しています。これらのシグナルはリアルタイムのアクセス制御判断に活用し、事後アラートではなく段階的認証をトリガーすべきです。

セッショントークン監視

 OWASPセッションガイドで文書化されている指標を監視します：

• 認証元と異なるIPからのセッショントークン再利用
• 同一アカウントで異なるエンドポイントからの同時アクティブセッション
• ログアウトや有効期限後も継続するセッションアクティビティ
• 再認証イベントなしでのパスワードやメールアドレス変更

これらのシグナルは、単独で評価するよりもセッション間で相関させることで有効性が高まります。モバイル環境でのセッションIP変更は日常的ですが、同一セッション内でのIP変更と権限昇格試行の組み合わせは異常です。

再認証ギャップ監視

アプリケーションログで、同一セッション内に再認証エントリがないまま完了した高リスクイベントを監視します。これには、再認証なしでのMFA要素変更、新規デバイスログイン時の追加要素チャレンジなし、段階的認証なしで完了するアカウントリカバリフローなどが含まれます。

認証バイパスCWEにマッピングした脆弱性スキャン

 CISAブリテンを購読し、公開された認証バイパスCVE、CWE-287、CWE-288、CWE-302、CWE-303、CWE-306を資産インベントリにマッピングして優先的にパッチ適用します。

構造化ペネトレーションテスト

 OWASP WSTG 4.4は、構造化された認証テストケースを定義しています。WSTG 4.4.4（認証スキーマバイパス）、WSTG 4.4.11（多要素認証バイパス）、WSTG 4.4.10（代替チャネルでの弱い認証）は、すべてのセキュリティアセスメントで必須スコープ項目とすべきです。

これらの脆弱性を発見するだけでは不十分です。そもそもバイパスが存在しないようにする必要があります。

認証バイパスの防止方法

防止には、標準準拠、認証アーキテクチャ、セキュアコーディング、セッション管理、継続的検証など、あらゆるレイヤーでの制御が必要です。

フィッシング耐性MFAの導入

FIDO2/WebAuthnハードウェアトークンやパスキーを主要なMFA機構として導入します。 OWASP MFAガイドは、レガシー認証プロトコルのブロック、最新OAuth2またはSAMLの強制、MFA要素変更前の既存登録要素による再認証を推奨しています。要素変更時にアクティブセッションのみを信頼してはなりません。セッション自体が乗っ取られている可能性があるためです。

NIST SP 800-63-4への準拠

SP 800-63スイートは2025年8月1日付でSP 800-63-4に置き換えられました NIST 63B-4。 NIST 63B-4は、更新された認証保証レベルを定義しています：

• AAL1: 単一要素認証。
• AAL2: 承認済み暗号技術による2要素認証。
• AAL3: 同期可能な認証器は禁止 NIST 63B-4。

連邦基準の対象組織は、以下の技術的制御を評価する前に、認証実装を適切な保証レベルに合わせる必要があります。

セキュアコーディング実践の徹底

 OWASPコーディングガイドは、認証バイパスを直接防ぐ制御を指定しています：

• 認証ロジックの集中管理。 リソース要求部分から分離し、代替経路バイパス（CWE-288）を防止します。
• 安全な失敗設計。 すべての認証制御は失敗時にアクセスを拒否しなければなりません。
• 管理機能の同等性強制。 管理インターフェースは主要認証と同等以上のセキュリティが必要です。
• エラーレスポンスの標準化。 認証失敗メッセージはどのフィールドが誤っていたかを示さず、アカウント列挙を防止します。

これらの制御は認証ゲート自体に対応します。次のセクションでは、認証通過直後のセッション管理について説明します。

セッション管理の強化

 OWASPセッションガイドの制御を実装します：

• セッション管理には非永続Cookieを使用。
• セッション固定化（CWE-384）防止のため、認証前後で異なるセッションIDを発行。
• 初回ログイン時にセッションIDの更新を強制するタイムアウトを実装。
• パスワード変更、メール変更、新規デバイスログイン、アカウントリカバリフローには再認証を必須化。

セッションレイヤーの強化は、セッション固定化やトークンリプレイなどの認証後バイパス変種を防ぎます。次の防御レイヤーは、すべての認証済みセッションをデフォルトで信頼しないという考え方です。

ゼロトラスト認証の実装

 NIST 800-207およびGSA ZTAガイドに基づきます：

• 継続的検証: 認証に成功したユーザーをセッション期間中信頼できるという前提を排除します。
• 侵害前提姿勢: 脅威アクターが既にネットワーク内にいる前提で設計します。

これらの原則は、認証信頼が組織境界を越えて拡張されるフェデレーテッドID環境に直接適用され、追加の技術的保護が必要です。

フェデレーションアサーションのセキュリティ確保

NIST 63C-4は、バックチャネルアサーション提示、推測不可能なセッションバインディング値、RPからIdPへの認証、最小保証レベル閾値の強制を義務付けています。これらは規範的な「必須」要件であり、任意の制御ではありません。

防止と検出は、専用ツールによって最も効果を発揮します。

検出・防止のためのツール

認証バイパスを阻止するには、エンドポイント、IDインフラ、ネットワークエッジ、クラウドサービス全体をカバーするツールが必要です。

脆弱性スキャンとアセスメント

CISA KEVエントリに対して環境を定期的にスキャンし、認証バイパスCVEを資産インベントリにマッピングします。

アイデンティティ脅威検知・対応（ITDR）

専用のITDRソリューションは、Active Directory、Entra ID、IDプロバイダのログを監視し、認証情報の悪用、不可能な移動、権限昇格、セッション異常を検知します。認証イベントをエンドポイントやネットワークアクティビティと相関させることで、MFAレイヤー下のバイパスも発見できます。

拡張型検知・対応（XDR）

認証バイパス攻撃は複数レイヤーを横断します。エンドポイントでの認証情報窃取、ネットワークでのラテラルムーブメント、クラウドリソースアクセスなどです。 XDRプラットフォームは、これらのテレメトリを単一の調査コンソールに統合し、バイパス発生地点と被害発生地点のギャップを解消します。

AI駆動の調査・対応

行動AIは、認証パターン、ID行動、アクセス異常をリアルタイムで分析し、手動ログレビューよりも迅速に認証情報の侵害を発見します。自律型対応機能（侵害IDの隔離、アクティブセッションの失効、ラテラルムーブメントの自動阻止など）は、攻撃者の滞留時間を短縮します。

関連する脆弱性

認証バイパスは、いくつかの関連脆弱性クラスと根本原因・攻撃チェーン・悪用パターンを共有します：

• アクセス制御の破壊（OWASP A01:2025）: 強制ブラウジングやパラメータ改ざん型の認証バイパスは、アクセス制御失敗と重複します。違いは、認証バイパスは身元確認をスキップし、アクセス制御の破壊は身元確認後の認可チェックをスキップする点です。
• SQLインジェクション: MOVEit Transferキャンペーン（CVE-2023-34362）で示されたように、認証不要のSQLインジェクションは、ログインロジックを制御するDBクエリを操作することで認証自体をバイパスできます。
• サーバーサイドリクエストフォージェリ（SSRF）: Ivanti Connect Secure連鎖のCVE-2024-21893はSAMLコンポーネントのSSRFで、認証バイパスと組み合わせて完全侵害を達成しました。
• パストラバーサル: CVE-2018-13379（Fortinet FortiOS）は、パストラバーサルで平文認証情報をダウンロードし、二次的に認証バイパスを実現しました。
• セッションハイジャック: セッション固定化（CWE-384）やトークンリプレイ（CWE-294）は、ログインプロセス自体ではなく認証後のセッションレイヤーを悪用する認証バイパスサブタイプです。
• 権限昇格: 認証バイパスはしばしば権限昇格と連鎖します。Cisco IOS XE攻撃（CVE-2023-20198 + CVE-2023-20273）は、認証バイパスからroot権限取得・バックドア設置までを単一連鎖で実現しました。

これらの関係性を理解することは、脅威モデリングやインシデント対応時に有用です。環境内で認証バイパスが確認された場合、上記の脆弱性クラスも独立した問題ではなく、連鎖的な共悪用の可能性として評価すべきです。

関連CVE

結論

認証バイパスは、外部者と信頼されたユーザーの間の身元確認を取り除きます。攻撃者がこの境界を越えると、アカウント乗っ取り、管理者権限取得、ラテラルムーブメント、データ窃取、ランサムウェア展開が可能となります。このリスクを低減するには、認証フローの強化、セッションの保護、すべてのアクセス経路の検証、ID・エンドポイント・ネットワークアクティビティを連携させるツールの活用が必要です。