Broken Authenticationとは？原因、影響、対策

認証の破損とは何か？

認証の破損は、アプリケーションがユーザーの本人確認およびその認証状態の維持方法に存在する脆弱性を悪用し、攻撃者がユーザーのアイデンティティを侵害できる脆弱性クラスです。ログイン機構、セッション管理、認証情報のリカバリプロセスに欠陥がある場合、攻撃者は正規ユーザーになりすまし、権限を昇格させ、認可されていないシステムアクセスを実現できます。

この脆弱性は、OWASPリストの初期版からすべてに登場しています。OWASPはこのカテゴリの名称や定義を時代とともに変更・洗練してきましたが、認証関連の弱点を広くカバーするようになっただけで、重要性が低下したわけではありません。

認証の破損の範囲は単純なパスワード推測をはるかに超えます。 クレデンシャルスタッフィング、セッション固定、MFAバイパス、トークン偽造、ハードコードされた認証情報、重要機能への認証未実装などが含まれます。このカテゴリ全体のルートCWEはCWE-287であり、最新のOWASP分類では関連する多くのCWEがマッピングされています。

 DBIRレポートによると、認証情報の悪用は侵害における主要な初期アクセス手法の一つです。認証の破損の仕組みを理解することで、より効果的に防止できます。

認証の破損はどのように機能するか？

認証の破損は、脆弱性を2つの異なる失敗ドメインで悪用します。1つはアプリケーションがユーザーをどのように認証するか（認証）、もう1つはその認証状態をどのように維持するか（セッション管理）です。各ドメインは異なる攻撃面を持ちますが、いずれも最終的には不正アクセスにつながります。

認証の失敗

アプリケーションがユーザーの本人確認を適切に行わない場合、攻撃者は正面から侵入できます。クレデンシャルスタッフィング攻撃は、盗まれたユーザー名とパスワードの組み合わせをログインエンドポイントに送信します。レート制限やアカウントロックアウトがなければ、攻撃者は大規模に認証情報を試行し、有効な組み合わせを見つけることができます。

攻撃の流れは単純です。攻撃者は過去の侵害からクレデンシャルダンプを入手し、それらを自動化ツールに投入してログインページを狙います。アプリケーションが試行ごとにスロットリングやロックアウト、CAPTCHAを設けていなければ、有効な組み合わせが一致した時点で攻撃者はアカウントに完全アクセスできます。

ブルートフォース攻撃も同様のパターンですが、既知の認証情報を再利用するのではなくパスワードの組み合わせを生成します。パスワードスプレーは逆のアプローチで、1つの共通パスワードを多数のアカウントに同時に試行し、アカウントごとのロックアウト閾値を回避します。

セッション管理の失敗

正しく認証した後でも、セッション管理の欠陥により認証状態が攻撃者に渡ることがあります。セッション固定攻撃（CWE-384）では、攻撃者がログイン前に既知のセッションIDを設定します。アプリケーションが認証後にセッションIDを再生成しない場合、攻撃者は事前に設定したIDで認証済みセッションにアクセスできます。

セッショントークンの露出も別の経路です。セッションIDがURLに含まれると、サーバーアクセスログやブラウザ履歴、HTTPリファラヘッダーに記録されます。URLを入手した攻撃者はセッションを奪取できます。不十分なセッション有効期限（CWE-613）も問題を悪化させます。ブラウザタブをログアウトせずに閉じた場合、同じブラウザを使う他者がセッションを再利用できる可能性があります。

MFAバイパス

多要素認証は2段階目の検証レイヤーを追加しますが、攻撃者は信頼性の高いバイパス手法を開発しています。MFA疲労（プロンプトボミングとも呼ばれる）は、ユーザーのデバイスにプッシュ通知を大量に送り、ユーザーが煩わしさから承認するまで続けます。Uber侵害は、盗まれた認証情報、繰り返されるMFAプロンプト、ソーシャルエンジニアリングが連鎖して内部システムへのアクセスを得た例としてよく引用されます。

これらのメカニズムが成立するのは、認証の破損が単一の欠陥ではなく、弱い認証情報、レート制限の欠如、セッション管理の不備など、複数の弱点が連鎖して攻撃者に悪用されるためです。

認証の破損の種類

認証の破損は単一の脆弱性ではなく、6つの異なる失敗タイプにまたがるカテゴリです。それぞれが認証スタックの異なるレイヤーを標的とし、対策も異なります。

どのタイプがアプリケーションに存在するかを理解することで、適用すべきコントロールや調査すべきフォレンジック証拠が決まります。クレデンシャルスタッフィングにはレート制限とMFAが必要ですが、管理APIの認証未実装には根本的に異なる対応が求められます。

認証の破損の原因

認証の破損は単一の設計ミスから生じるものではありません。 OWASPガイダンスが指摘するように、アクセス制御の破損、暗号化の失敗、古いライブラリなど他のTop 10リスクと相互に関連する4つのカテゴリにまたがる弱点の複合から発生します。

認証情報ポリシーの失敗

弱い、デフォルト、または既知のパスワードを許容することが最も基本的な原因です。アプリケーションが一般的なデフォルトパスワードを強制せずに受け入れる場合、攻撃者に容易な侵入口を与えます（CWE-521）。NIST 63B-4は新しいパスワードを既知の漏洩リストと照合することを求めていますが、多くのアプリケーションはこの手順を省略しています。

パスワードの使い回しは問題をさらに悪化させます。 DBIRレポートは、サービス間でのパスワード使い回しが依然として一般的であり、盗まれた認証情報が攻撃者にとってより有用になることを強調しています。

認証フロー設計の失敗

MFA未実装（CWE-308）は、盗難・推測・フィッシングされうる単一要素のみでアカウントが保護されることを意味します。知識ベースの回答に依存する弱い認証情報リカバリ機構は、容易に推測可能な並行認証経路を作ります。ログイン試行にレート制限がない場合（CWE-307）、攻撃者は大量の組み合わせを無制限に試せます。

ソースコードや設定ファイルにハードコードされた認証情報（CWE-798）は完全な設計失敗です。この弱点は最近のCWE Top 25にも登場し、 CISAアラートでも産業制御システムへの実際の悪用が確認されています。

セッションライフサイクル管理の失敗

セッションライフサイクルの失敗は3つの直接的な攻撃経路を生み出します：

• ログイン後にセッションIDを再生成しないと、セッション固定攻撃が可能
• アイドルまたは絶対タイムアウトなしでセッションを維持すると、セッションハイジャックのウィンドウが拡大
• セッショントークンをURLに埋め込むと、URLを記録・キャッシュするすべてのシステム経由で認証情報が漏洩

これらの失敗はそれぞれ独立してリスクを高め、組み合わさることで攻撃者に複数の不正アクセス手段を与えます。

暗号化およびトランスポートの失敗

パスワードを平文で保存したり、可逆暗号や弱いハッシュアルゴリズムを使用すると、データベース侵害時に認証情報が直接漏洩します。証明書検証不備（CWE-295）などのトランスポート層の失敗は、攻撃者による認証トラフィックの傍受を可能にします。これらの原因はOWASP A02:2021「暗号化の失敗」とも重なり、認証の破損が他の脆弱性カテゴリと交差することを示しています。

これら4カテゴリは単独で現れることは稀です。弱い認証情報ポリシーはクレデンシャルスタッフィングを可能にし、レート制限の欠如はそれを現実的にし、セッション管理の不備は攻撃者の滞在期間を延長します。自システムにどの原因が存在するかを理解することで、リスクの重大性と対策の優先順位が決まります。

認証の破損の影響とリスク

認証の破損の結果は、個別アカウントの侵害から組織全体の侵害、規制・財務・運用上の影響にまで及びます。

侵害の多発

認証の失敗は最も多く悪用される初期アクセス経路の一つです。 DBIRレポートは、認証情報の悪用が依然として主要な侵害要因であることを確認しています。特に金融サービス分野では、盗まれた認証情報によるWebアプリケーション攻撃が顕著です。

財務的影響

 IBMレポートによると、2024年のデータ侵害の世界平均コストは488万ドルに達し、前年から10%増加しました。 金融サービス組織では1件あたり608万ドルと、世界平均を22%上回っています。直接的な費用以外にも、侵害を受けた組織の70%が重大または中程度の運用障害を報告しています。

ビジネスへの連鎖的影響

認証の破損は単独で収まることは稀です。侵害された認証情報は、ラテラルムーブメント、権限昇格、データ流出、ランサムウェア展開の足掛かりとなります。Verizon DBIRは、ランサムウェア被害と認証情報ダンプに被害者ドメインが含まれることの相関を指摘し、認証の弱点がランサムウェアリスクに直結することを示しています。

認証の破損は抽象的なアプリケーションセキュリティの問題ではなく、侵害の出発点となる主要なメカニズムです。

攻撃者は認証の破損をどう悪用するか

攻撃者は発見した認証の弱点に応じて手法を選択します。以下は主な悪用技術と、それぞれが標的とするCWEの対応です。

MFA疲労とソーシャルエンジニアリング

MFAがクレデンシャルスタッフィングを阻止した場合、攻撃者はソーシャルエンジニアリングに移行します。MFA疲労は正規ユーザーに繰り返しプッシュ通知を送り、承認されるまで続けます。CISAアドバイザリでは、休眠アカウントの弱いパスワードをブルートフォースした後、Duoのデフォルト設定により非アクティブアカウントでMFA再登録が可能だったため、攻撃者が新しいMFAデバイスを登録しネットワークアクセスを得た手法が記録されています。

SAMLトークン偽造

SolarWinds/SUNBURSTキャンペーンでは、攻撃者がActive Directory Federation Servicesコンテナから秘密暗号鍵を抽出し、どのリライングパーティにも有効に見えるSAMLアサーションを偽造しました。 CISAアドバイザリによると、このGolden SAML手法は正規認証情報を持たずに認証を完全にバイパスし、米国連邦機関のクラウド環境へのアクセスを実現しました。

トークン開示によるセッションハイジャック

CVE-2023-4966（Citrix Bleed）は、攻撃者がリモートアクセスアプライアンスから有効なセッショントークンを抽出できる脆弱性です。盗まれたセッショントークンにより、攻撃者は既に認証済みのユーザーになりすまし、パスワードやMFAを完全にバイパスできます。CISAはパッチ公開前からゼロデイ悪用が確認されたとしています [cite-19]。

代替パスによる認証バイパス

一部の脆弱性は認証要件自体を排除します。あるネットワークアプライアンスの欠陥では、Node.js WebSocket経由で認証なしにスーパ管理者アクセスが可能となり、重大な深刻度評価を受けました [cite-20]。また、管理インターフェースの欠陥により、Web管理インターフェース経由で認証なしに管理者権限昇格が可能でした。管理インターフェースの問題は CWE-306（重要機能への認証未実装）、WebSocketの問題は CWE-288（代替パスやチャネルによる認証バイパス）に該当します。

キャプチャ・リプレイ攻撃

攻撃者は認証トークンや認証情報を通信中に傍受し、それを再送してアクセスを得ます（CWE-294）。RFC 9700で規定される送信者制約付きトークンがない場合、OAuth実装はこの手法に脆弱です。

これらの各手法は異なるフォレンジックシグネチャを生み出し、検出・対応方法を決定します。

認証の破損の影響を受けるのは誰か？

認証の破損は、ユーザーアイデンティティによるアクセス制御に依存するすべての組織に影響しますが、特定の業種やシステムタイプはリスクが高くなります。

WebアプリケーションとAPI

独自に認証を管理するすべてのアプリケーションは直接的なリスクにさらされます。OWASPは、 OWASP API SecurityプロジェクトでAPI固有の認証の破損を明示的に扱い、認証エンドポイントには通常のAPIレート制限より厳格なブルートフォース対策が必要であるとしています。

クラウドおよびSaaSプラットフォーム

Snowflake/UNC5537キャンペーンは、単一要素認証のクラウドプラットフォームが高価値標的であり、多くの組織がMFA未実装アカウントのために侵害されたことを示しました。認証をIdPに委譲するクラウドプラットフォームは、IdPの弱点をそのまま引き継ぎます。

金融サービス

金融機関は特に高いリスクに直面しています。 Verizon finance snapshotは、金融サービス分野のWebアプリケーション侵害の大半が盗まれた認証情報によるものであることを示しています。PayPalのクレデンシャルスタッフィング事件では、 規制上の和解と米国顧客アカウントへのMFA義務化が発生しました。

重要インフラおよびネットワークアプライアンス

VPNゲートウェイ、ファイアウォール、ネットワーク管理インターフェースは主要な標的です。CVE-2019-11510、CVE-2024-55591、CVE-2024-53704はいずれも、CISAの既知悪用脆弱性カタログに追加された境界デバイスの認証バイパス脆弱性です。

医療・政府機関

機微な個人データを扱う組織は、侵害リスクと規制上の影響の両方に直面します。CISAは、 CISAの認証評価で、弱い認証が連邦ハイバリューアセットシステムの主要な指摘事項であることを記録しています。

以下の侵害事例は、これらのリスクが業界を問わず現実化する様子を示しています。

認証の破損の実例

これらの侵害事例は、認証の破損が業種・攻撃手法・影響規模を問わずどのように現れるかを示しています。

23andMe：クレデンシャルスタッフィングによる大規模データ露出

攻撃者は、過去の侵害で流出したパスワードと一致する23andMeユーザーアカウントの一部にクレデンシャルスタッフィングを実施しました。DNA Relatives機能を通じて、その足掛かりからより広範なプロファイルデータが露出しました。 23andMeのSEC提出書類によると、同社はインシデント関連費用を計上しています。侵害当時、MFAは必須ではありませんでした。

Snowflake/UNC5537：インフォスティーラー認証情報の後日悪用

UNC5537は、 認証情報窃取型マルウェアを用いてSnowflakeクラウドデータウェアハウスアカウント経由で組織を侵害しました。Mandiantの調査によると、影響を受けたアカウントはいずれもMFAが有効化されていませんでした。被害組織にはTicketmaster、Santander Bank、Advance Auto Partsが含まれます。

SolarWinds/SUNBURST：SAMLトークン偽造

ロシア国家系攻撃者はSolarWindsのビルドプロセスを侵害し、そのアクセスでADFS秘密暗号鍵を窃取しました。 CISAレポートによると、攻撃者は信頼されたSAML認証トークンを偽造し、正規認証情報を持たずに米国政府機関のクラウド環境にアクセスしました。

PayPal：クレデンシャルスタッフィングと規制対応

攻撃者はクレデンシャルスタッフィングで顧客アカウントにアクセスし、機微な顧客データが露出しました。ニューヨークDFSは 規制上の和解を課し、米国顧客アカウントへのMFA義務化を要求しました。

GoDaddy：複数年にわたる認証情報侵害

管理者パスワードの侵害により、攻撃者はGoDaddyのManaged WordPress環境にアクセスしました（ GoDaddyの侵害報告）。現役・非アクティブ両方のManaged WordPress顧客が影響を受け、WordPress管理者認証情報、FTPアカウント、メールアドレスが盗まれました。攻撃者はマルウェアも設置し、ソースコードも入手しました。

Yahoo：大規模なクッキー偽造

Yahooの侵害は最終的に全30億ユーザーアカウントに影響を及ぼしました（ New York Times報道）。攻撃者は偽造認証クッキーを用いてパスワードなしでアカウントにアクセスしました。後の侵害では管理者認証情報を標的としたスピアフィッシングも発生し、クッキー偽造は国家支援型攻撃者と関連付けられました。

これらの事例は、過去20年にわたる広範な歴史的パターンの一部です。

認証の破損：タイムライン

認証の破損の歴史は、初期のセッション管理の欠陥から今日のアイデンティティ層攻撃まで、Webセキュリティの進化そのものを反映しています。

認証の破損はWebアプリケーションの欠陥から、アプリケーション・インフラ・クラウド環境にまたがるフルスタックのアイデンティティセキュリティ問題へと発展しています。

認証の破損の検出方法

認証の破損を発見するには、アプリケーション設計の欠陥、実行時の認証情報悪用、認証後の行動異常をカバーする多層的アプローチが必要です。

ログおよびセッション分析

 OWASP Authentication Cheat Sheetは、すべての認証失敗、パスワード失敗、アカウントロックアウトを記録・レビューすることを規定しています。クレデンシャルスタッフィングを示すパターン（同一IPレンジから多数のアカウントへのログイン失敗、または1アカウントへの多地域からの失敗）を探します。

 OWASP Session Management Cheat Sheetは、再認証チャレンジをトリガーすべきセッションイベント（新規または疑わしいIPからのログイン、パスワード変更試行、アカウントリカバリ完了）を特定しています。ユーザー設定のセッションIDを受け入れる寛容なセッション管理（脆弱）と、サーバー生成IDのみを受け入れる厳格なセッション管理（安全）を区別します。

動的アプリケーションセキュリティテスト（DAST）

OWASP Testing Guideは、WSTG-ATHNシリーズで認証固有のテスト手順を定義しています。これにはデフォルト認証情報、弱いロックアウト機構、認証スキーマバイパス、脆弱なパスワードリセットフロー、弱いセキュリティ質問、MFA実装の欠陥のテストが含まれます。DASTスキャナやパスワードテストツールは、これらのテストを実行中のアプリケーションに対して実施します。

ハードコード認証情報の静的解析

静的アプリケーションセキュリティテスト（SAST）ツールは、デプロイ前のソースコードをスキャンし、ハードコードパスワード（CWE-798）、弱い暗号実装、不適切なセッションロジックを検出します。これは、DASTでは外部インターフェースから到達できないコードパスの認証情報管理の欠陥も検出できます。

アイデンティティ脅威の検出と対応（ITDR）

攻撃者が盗まれた正規認証情報を使う場合、ネットワークやエンドポイントセキュリティでは検出が困難です。 ITDRシステムはアイデンティティ層を監視し、認証イベントを行動ベースラインと比較します。異常検知例として、異常な地理からのログイン、無関係なデータセット間のラテラルムーブメント、異常な権限昇格要求などがあります。 XDRアーキテクチャは、認証異常とその後のネットワーク層ラテラルムーブメントを相関させ、サイロ化されたツールでは見逃す攻撃チェーン全体を可視化します。

認証の破損の防止方法

防止策は根本原因に直接対応します。以下の各コントロールは、認証の破損のサブタイプごとに対応し、関連する標準を参照しています。

フィッシング耐性MFAの導入

CISAガイダンスは、FIDO2/WebAuthnおよびPIV/CACスマートカードを フィッシング耐性MFAのゴールドスタンダードとしています。プッシュ型MFAは疲労攻撃やリアルタイムフィッシング（ワンタイムコードの詐取）に脆弱です。NIST SP 800-63Bは、より強力な保証レベルで承認済みMFAを要求しています。

最新の認証情報ポリシーの強制

 NIST 63B-4要件に準拠：新しいパスワードを既知漏洩リストと照合、Unicodeや空白を含むすべての文字種を許可、最小長の強制、定期的な変更は不要。OWASP Authentication Cheat Sheetは、パスワード強度メーターの導入と、漏洩が確認された場合のみ認証情報をローテーションすることを推奨しています。

保存については、 パスワード保存チートシートはArgon2idを主要ハッシュアルゴリズムとし、scrypt、bcrypt、PBKDF2も許容代替案としています。適切なソルト、ペッパー、ワークファクター設定、レガシーハッシュのアップグレードパスも含めます。

レート制限とアカウントロックアウトの実装

認証エンドポイントには、標準APIレート制限より厳格なブルートフォース対策を適用します。 OWASP API Security 2023プロジェクトは、アカウントロックアウト、CAPTCHA、進行的遅延の実装を規定しています。OWASP Testing Guideも実際に使われているロックアウト閾値を記載しています。

ユーザーが認証に成功した後は、セッション自体が新たな攻撃面となります。セッションの発行・保存・有効期限管理の安全性も同等に重要なコントロールです。

セッション管理の強化

サーバー生成の高エントロピーなセッションID（暗号学的に安全な乱数生成器使用）を利用し、ログイン成功ごとにセッションIDを再生成します。アイドル・絶対タイムアウトを設定し、セッショントークンをURLに埋め込まないでください。 OWASP Session Management Cheat Sheetは、独自実装ではなくJ2EE、ASP.NET、PHPなどの組み込みセッション管理フレームワークの利用を推奨しています。

アカウント列挙・リカバリの強化

すべての認証結果で同一のレスポンスメッセージを返し、攻撃者が有効・無効なユーザー名を判別できないようにします。 パスワードリセットチートシートは、セキュリティ質問を唯一のリカバリ手段とせず、認証情報リカバリエンドポイントにもログインエンドポイントと同等のブルートフォース対策を求めています。

デフォルト認証情報の排除

OWASP A07は「特に管理者ユーザーについて、デフォルト認証情報を出荷・デプロイしないこと」と明記しています。デプロイチェックリストにデフォルト認証情報の確認を含めてください。

OAuthやOIDCを利用するアプリケーションでは、強力な認証情報やセッション衛生だけでは不十分です。トークンレベルのコントロールが、認証情報層を超えるリプレイ・偽造攻撃を防ぎます。

OAuth/OIDCのトークンセキュリティ強制

RFC 9700は送信者制約付きアクセストークン、パブリッククライアントのリフレッシュトークンローテーション、RFC 8705に基づくMutual TLSを要求し、トークンリプレイ攻撃を防止します。

これらのコントロールの実装には、複数のセキュリティレイヤーにわたる適切なツールが必要です。

検出・防止のためのツール

認証の破損を阻止するには、単一カテゴリのツールだけでは攻撃面全体をカバーできません。複数カテゴリのツールによるカバレッジが必要です。

単一ツールでは攻撃面全体をカバーできません。効果的なカバレッジには、デプロイ前テスト、実行時の行動監視、アイデンティティ層の相関分析を全ソースで組み合わせる必要があります。以下はSentinelOneがそのスタックをエンドツーエンドでどうカバーするかの説明です。

SentinelOneはどのように支援できるか？

攻撃者が認証情報を盗むと、迅速に行動します。SentinelOneは、アイデンティティベース攻撃をリアルタイムで環境全体にわたり検知・阻止します。当社ソリューションの連携例を紹介します。

Singularity™ AI SIEM：脅威の広範な可視化

Singularity™ AI SIEMから始めましょう。エンドポイント、ネットワーク、クラウドサービス、アイデンティティプロバイダーから認証テレメトリを収集し、すべてを一元的に相関します。行動分析により、不可能な移動パターン（同一トークンが数分差でニューヨークと東京で使用）、同時セッション異常、トークン操作による権限昇格を検知します。2024年MITRE ATT&CK評価では、Singularityプラットフォームは攻撃ステップの100%を遅延ゼロで検知し、中央値より88%少ないアラート数を実現—運用チームがノイズに埋もれることはありません。

Singularity™  Identity：攻撃者より先に弱点を発見

Singularity™ Identityは、継続的なアイデンティティ脅威検知・対応（ITDR）を提供します。オンプレミスActive DirectoryやEntra ID、Okta、Ping、Duo、SecureAuthなどのクラウドIDプロバイダー全体で、弱い・露出・侵害された認証情報をスキャンします。ログイン失敗の異常な急増、異常な場所からのログイン、サービスアカウントへのKerberosting試行も可視化します。アイデンティティセキュリティポスチャ管理（ISPM）も含まれ、単発監査ではなく継続的なポスチャ評価が可能です。

Purple AI：自然言語で質問し、迅速に回答

アラート発生時、Purple AIが調査を加速します。「この侵害アカウントが過去72時間にアクセスした全システムを表示」など、平易な英語で質問するだけで、MITRE ATT&CK戦術コンテキスト付きの相関結果が得られます。IDC Business Value調査によると、Purple AIを利用するセキュリティチームは脅威特定が63%高速化、対応も55%高速化しています。

Singularity™  Data LakeとStoryline™ の活用

すべてのイベントデータはSingularity™ Data Lakeに集約され、Open Cybersecurity Schema Framework（OCSF）に正規化されます。クエリは従来型SIEMの最大100倍高速です。Storyline技術が攻撃チェーン全体を再構築し、初期の認証情報窃取からラテラルムーブメント、権限昇格、データアクセスまでを一連のタイムラインで可視化—手動相関は不要です。
SentinelOneデモをリクエストし、Singularity AI SIEMとSingularity Identityの実際の動作をご覧ください。

組織全体のアイデンティティリスクを軽減

Active DirectoryとEntra IDの総合的なソリューションにより、リアルタイムで攻撃を検知し、対応します。

デモを見る

関連する脆弱性

認証の破損は、他の複数の脆弱性クラスと交差・連携します：

• アクセス制御の破損（OWASP A01:2021）：認証は「誰か」を確認し、アクセス制御は「何ができるか」を制御します。攻撃者が任意の有効アカウントにアクセスできる認証の破損は、そのアカウントの権限を引き継ぐため、アクセス制御が無意味になります。
• 暗号化の失敗（OWASP A02:2021）：弱いパスワードハッシュ、平文認証情報保存、不適切な証明書検証は、認証の破損を直接的に可能にする暗号化の失敗です。
• セキュリティ設定ミス（OWASP A05:2021）：デフォルト認証情報、寛容なMFA再登録設定、過度に長いセッションタイムアウトは、認証の弱点を生む設定ミスです。
• サーバーサイドリクエストフォージェリ（SSRF）：SSRFは、認証バイパスと組み合わせて、侵害サーバーからのリクエストを信頼する内部サービスへのアクセスに利用されます。
• インジェクション脆弱性：SQLインジェクションによって認証クエリが改ざんされ、認証ロジック自体が完全にバイパスされる場合があります。
• 認証情報窃取（MITRE ATT&CK T1078 Valid Accounts）：いかなる手段で取得した有効アカウントの利用は、認証の破損のポストエクスプロイト段階に直結します。

認証の破損への対応は、単独でアイデンティティリスクを低減するだけでなく、強固な認証情報ポリシー、MFA強制、セッション管理強化により、アクセス制御の破損・暗号化の失敗・設定ミスが依存する共通攻撃面も縮小します。

関連するCVE

まとめ

認証の破損は、エンタープライズ侵害における最も多く悪用される初期アクセス経路の一つであり続けています。認証コントロールが失敗すると、攻撃者は弱いパスワード、脆弱なセッション、MFAバイパス、チェック漏れを利用してアカウントを完全に侵害できます。 

フィッシング耐性MFA、最新の認証情報ポリシー、安全なセッション管理、盗まれた認証情報の利用状況を可視化するアイデンティティ層の監視により、そのリスクを低減できます。