サイバーセキュリティにおける共連れ侵入：課題と防止策

共連れ侵入とは？

プリンター用紙の箱を2つ抱えた見知らぬ人が、カードリーダー付きの入口で従業員の後ろに近づきます。従業員はドアを開けて待ちます。その3秒間の親切な行為で、構築してきたファイアウォールルール、ネットワーク分離ポリシー、境界防御はすべて迂回されます。攻撃者はすでに内部にいます。その後の攻撃の連鎖を止められるのは、多層的な物理的対策とエンドポイントの制御だけです。

共連れ侵入は、物理的なソーシャルエンジニアリングの手法です。権限のない人が、許可された人のすぐ後についてセキュリティで保護された出入口を通り、立ち入り制限区域に侵入します。攻撃者は技術的な脆弱性ではなく人間の行動を悪用し、物理的な入退室管理を完全に迂回します。

よく似た手法に、同行者に許可なく入室を認める「ピギーバッキング」があります。決定的な違いは、権限を持つ人がそれを承知で入室させる点です。共連れ侵入では被害者は気づきません。ピギーバッキングでは、社会的な圧力や欺きによって、ドアを開けて待つ、アクセス権を共有するなど、積極的な協力を引き出します。

この違いは防御戦略に影響します。全高型の回転ゲートは共連れ侵入を防げますが、2人が同じ区画に一緒に入ることは防げません。声かけを促す方針はピギーバッキングへの対策になりますが、混雑したロビーでひそかに後をつける攻撃者には効果がありません。

共連れ侵入がサイバーセキュリティ上の問題となる理由 

共連れ侵入は、導入済みのあらゆるデジタル制御を迂回します。カードリーダーを通り抜けた攻撃者は、内部ネットワークのポート、誰も使っていないワークステーション、サーバールーム、配線室に物理的に近づけます。攻撃者が資産のすぐそばに立っていれば、境界ファイアウォール、ネットワーク分離、アクセスポリシーは意味をなしません。

MITRE ATT&CKもこのリスクを明確に認識しています。戦術TA0043（偵察）には、標的の選定に向けて攻撃者が被害者の物理的な所在地データを収集する行為が含まれます。そこから、キルチェーンはT1200（ハードウェアの追加）やT1091（リムーバブルメディアを介した複製）などの手法へとつながり、たった一度の物理的な侵入が全面的なサイバー侵害に発展します。

内部に入った攻撃者は、悪意ある内部関係者と同じアクセス権を持って行動します。最後に有効な防御境界となるのは、エンドポイントセキュリティ層です。物理的なリスクとサイバーリスクが交わるため、共連れ侵入にもネットワーク経由の攻撃経路と同等の厳格な防御が必要です。

共連れ侵入を構成する主な要素

共連れ侵入やピギーバッキングには、悪用可能な共通の要素があります。これらを知れば、自社の防御の隙を見つけられます。

• 人の往来がある入退室管理ポイント。 セキュリティで保護されたドア、カードリーダー付きの入口、回転ゲートのあるロビー、搬入口はいずれも侵入の機会になります。人通りが多いほど、攻撃者は紛れ込みやすくなります。
• 意図せず侵入を手助けする、権限を持つ人。 攻撃者には、正規のアクセス権を持ち、ドアを開ける、カードリーダーにカードをかざす、あるいは前を歩く人が必要です。ピギーバッキングでは、その人を心理的に誘導して積極的に協力させます。
• 心理的な働きかけ。 CISAのガイダンスには、親切心、権威がありそうな人への遠慮、対立の回避、緊急性が挙げられています。攻撃者はこれらを組み合わせます。技術者の制服を着て重い機材を運び、締め切りが迫っていると訴える人は、3つの心理的要因を同時に悪用しています。
• 口実や偽装のための設定。 よくある口実には、カードがまだ有効化されていない新入社員、配達員、保守担当者、案内役が遅れている来訪者などがあります。クリップボード、工具袋、借りたネックストラップなどの小道具が偽装を補強します。
• 物理的な対策や運用手順の隙。 1人ずつの通行を強制しない開き戸、心理的な誘導が通用する警備員の詰め所、文書化されていても徹底されていない方針などが該当します。

これらの要素は相互に作用します。物理的な障壁、教育、運用手順の徹底によってどれか1つでも取り除けば、攻撃の連鎖を断てます。

共連れ侵入の仕組み

攻撃者はこれらの要素を組み合わせ、予測可能なパターンに沿った手口を使います。以下は、ペネトレーションテスターと実際の攻撃者が繰り返し使う手法です。

• 「両手がふさがっている」手口。 攻撃者は箱や食品のトレー、機材を抱えて現れます。従業員は社会的な礼儀からドアを開けておいてしまいます。
• なりすまし。 攻撃者は技術者や配達員、清掃員の格好をして、堂々と入口に近づきます。
• 「新入社員」を装う手口。 攻撃者は入館証がまだ有効化されていないと主張し、従業員にドアを通してほしいと頼みます。この手口は、親切心と入社手続きの遅れがあり得るという認識を悪用します。
• 喫煙所や休憩室の悪用。 攻撃者は、従業員が正式な確認を受けずに建物へ戻る、非公式な集まりの場の近くに陣取ります。
• 警備員へのソーシャルエンジニアリング。 ドアを通る手口を使わず、有人の警備受付を狙う攻撃者もいます。

どの手口も物理的な管理策や運用手順の特定の隙を狙います。これが、こうした攻撃が繰り返し成功する理由です。

テールゲーティング攻撃が成功する理由

テールゲーティング攻撃が依然として有効なのは、構造、心理、組織に起因する理由があるためです。

1. 人への礼儀がセキュリティ研修より優先されます。 従業員は、ドアを開けておいてはいけないという規則を知っています。それでも開けておきます。正規の同僚かもしれない相手を呼び止める心理的負担は、その場ではセキュリティ侵害という抽象的なリスクより大きく感じられます。研修だけでは、この深く根付いた行動習慣を変えられません。
2. 組織は、必要だと分かっている管理策への投資を後回しにしがちです。 認識と実行の間にあるこの隔たりにより、テールゲーティングを阻止できる可能性が最も高い対策が、最も必要な入口に設けられていないことが少なくありません。
3. 組織はテールゲーティングの事案を必ずしも記録していません。 測定していないものには対策を講じられません。また、経営層に提示する事案データがなければ、管理策の予算を正当化できません。
4. 従来の入退室管理システムには盲点があります。 開き戸に設置された物理的な入退室管理システムの多くは、利用者が入館証をかざした後に実際に建物へ入ったかどうかを確認できません。1人ずつの通行を徹底する管理策がなければ、建物内に誰がいるかを確実に把握することは困難です。
5. ピギーバッキングは信頼関係を悪用します。 権限を持つ人が積極的に協力すると、高度な本人確認システムでも対応は困難です。2人が一緒にセキュリティゲートを通過すれば、多くの物理的な管理策が前提とする1人ずつの通行をすり抜けられます。

これらの要因は重なり合います。事案を記録していない組織は物理的な障壁の設置を正当化できず、従業員は管理策のない入口で絶えず社会的な圧力にさらされます。

テールゲーティングを阻止する際の課題

テールゲーティングのリスクを認識している組織でも、防御策の導入には現実的な障壁があります。

1. 通行の円滑さとセキュリティの両立。 1人ずつ通行させるセキュリティゲートや回転ドアは、入館の流れを遅くします。混雑時には業務上の支障から管理策を緩める圧力が生じます。まさにテールゲーティングのリスクが最も高い時間帯です。
2. ピギーバッキングへの対策には組織文化の変革が必要です。 物理的な障壁は、気づかれずに後をついて入る人を阻止できます。しかし、従業員が自らドアを開けておくことは防げません。ピギーバッキングへの対策には、見知らぬ人の身元を確認することが求められ、従業員も安心して実行できる文化が必要です。これは技術の購入ではなく、組織を変える取り組みです。
3. 物理セキュリティとサイバーセキュリティのチームは縦割りで活動しています。 多くの企業では、物理セキュリティは施設管理部門に、サイバーセキュリティはCIOまたはCISOに報告します。この組織上の分断により、物理的な侵入のデータがサイバーリスク評価に反映されることはほとんどなく、サイバー脅威インテリジェンスが物理的なセキュリティ態勢に関する判断に活用されることもまれです。その結果、複合的なリスクへの対応が分断されます。
4. 検知は防止ではありません。 光学式ゲートやテールゲーティング検知センサーは、入館後に警報を発します。誰かが後をついて入ったと知ることと、それを阻止することは別です。

こうした構造的な課題があるため、セキュリティ意識の高い組織でも、テールゲーティング対策で予測可能な誤りを犯します。

テールゲーティング対策でよくある誤り

記録されている以下の誤りは、企業のセキュリティ対策で繰り返し見られます。

1. テールゲーティングとピギーバッキングを同じ問題として扱うこと。 両者には異なる対策が必要です。研修を行わずにゲートだけを設置しても、テールゲーティングには対処できますが、ピギーバッキングへの対策には大きな穴が残ります。
2. 管理された入口の周囲に物理的な抜け道を残すこと。 組織が入口の管理策に投資しても、それを迂回できる別の経路を残してしまえば、システム全体の効果が損なわれます。
3. 入館証リーダーがテールゲーティングを防ぐと思い込むこと。 従来のシステムは認証情報を確認しますが、2人目がドアを通って後に続かなかったことは確認できません。カードの読み取りは、1人ずつの通行を意味しません。
4. ドアの開放警報を主な管理策として頼ること。 アラームは侵入後に通知します。スタッフが無視したり対応しなかったりすれば、共連れによる侵入者は自由に行動できます。
5. 物理的なアクセス制御のレッドチームテストを省略すること。テストしなければ、推測に頼るしかありません。
6. 物理的な侵入がもたらすサイバー上の影響を見過ごすこと。 物理的なアクセスとエンドポイント、ネットワーク、アイデンティティのリスクを結び付けなければ、攻撃の連鎖全体に対処できません。

こうしたミスを避けることで、共連れや同伴による不正侵入の両方に対処する多層防御プログラムを構築できます。

共連れによる不正侵入を防ぐ方法

区域の機密性に応じて制御の強度を調整し、防御プログラムを多層的に構築します。

• 一人ずつの通行を徹底する物理的な障壁を設置します。 セキュリティ回転ドアやマン・トラップ式の出入口は、最も強力な侵入防止策です。サーバールーム、データセンター、役員エリアへの設置を優先します。
• 不審者に声をかける文化を築きます。方針を定めるだけでは不十分です。従業員にドアを押さえて開けておかないよう指示する文書は必要ですが、それだけでは足りません。共連れと同伴による不正侵入の両方を想定した訓練を実施します。役員やシステム管理者には、それぞれに合わせた訓練を行います。
• ISO 27001附属書A 7.2に沿った訪問者管理を導入します。 すべての訪問者について検証可能な記録を残します。請負業者が立ち入れる区域と時間帯を、許可された範囲に制限します。訪問者管理システムを人事データベースや入館証リーダーと連携させます。
• 物理的なアクセス制御を定期的にレッドチームテストします。 NIST SP 800-53では、HIGHセキュリティベースラインに対し、物理的なアクセス制御を予告なしに回避しようとするテストが求められます。物理的な侵入テストによって、文書化された制御と実際のセキュリティ態勢とのギャップが明らかになります。
• 物理的なアクセスデータをセキュリティ運用に結び付けます。 入館証リーダーのログ、共連れのアラート、訪問者管理データをSIEMまたはセキュリティ運用プラットフォームに取り込みます。共連れのアラートと同じフロアのエンドポイントでの異常な挙動が関連していれば、SOCは個々の事象を別々に扱うのではなく、攻撃の連鎖全体に対応できます。
• 物理的な所在にもゼロトラストの原則を適用します。 建物内にいるだけで、ネットワークへのアクセスを暗黙に許可してはいけません。継続的なデバイスの状態確認、最小権限の適用、および マイクロセグメンテーションにより、共連れによる侵入者がネットワークポートに到達しても、アイデンティティとデバイスの健全性に関する要件を満たさなければ、組織のリソースにはアクセスできません。

こうした多層的な制御は共連れのリスクを大幅に低減しますが、完璧な物理的防御はありません。攻撃者が侵入すると、攻撃は物理的なものからデジタルへと移り、別の制御が防御を担います。

物理的な侵入からサイバー攻撃への連鎖

物理的なアクセスは、特定のサイバー攻撃経路を開きます。これらの経路を把握することで、エンドポイントとアイデンティティの制御に優先順位を付けられます。

1. USB経由のマルウェア侵入（MITRE T1091）。 共連れによる侵入者は、無人のワークステーションに到達し、あらかじめ仕込んだUSBデバイスを挿入して、ネットワーク層を介さずに実行を開始します。境界に設置されたファイアウォールは、この通信を検知できません。
2. 認証情報のダンプ（MITRE T1003.001）。 攻撃者は物理的にアクセスしたエンドポイントから、ローカルメモリに対して認証情報を収集するツールを実行します。その結果、1台のワークステーションから 権限昇格を経て、重要インフラへのアクセスに十分な認証情報を得るまで攻撃が連鎖します。
3. 不正デバイスの設置（MITRE T1200）。 共連れによる侵入者は、会議室や施錠されていない配線室にある内部ネットワークポートに、不正な無線アクセスポイントを接続します。これにより、攻撃者は建物の外から内部ネットワークに継続的に無線アクセスできます。

どのシナリオでも、エンドポイントが最後の制御層です。境界のファイアウォールやネットワークアクセス制御は、正規に接続された内部マシンから始まる活動を検査しません。そのため、エンドポイントセキュリティが物理的な侵入後の最後の防衛線となります。

組織全体のアイデンティティリスクを軽減

Active DirectoryとEntra IDの総合的なソリューションにより、リアルタイムで攻撃を検知し、対応します。

デモを見る

重要なポイント

共連れや同伴による不正侵入は、物理的な出入口での人の行動につけ込み、デジタルセキュリティの仕組み全体を迂回します。 

共連れを防ぐには、多層的な物理的障壁、不審者に声をかけるための訓練と文化、レッドチームテスト、そして物理的な制御が破られた際に最後の防衛線となるエンドポイントセキュリティが必要です。