パスキー普及で変化するアカウント乗っ取りの手口、2026年の主戦場は「本人確認ステップ」へ

要点

• パスキーの普及によって従来のパスワードを狙う攻撃が難しくなり、アカウント乗っ取りの標的が本人確認やアカウント復旧の段階へと移行している。

• FIDO Allianceの2026年調査によると、消費者の75%がパスキーを有効化し、企業の68%が導入・検証などを進めていることが判明した。

• 生成AIを用いたなりすましが急増しており、本人確認で提示される画像・動画がAIにより生成・改ざんされる割合が300%増加した。

• 今後12〜18ヶ月の対策として、ユーザーの操作と取引内容を暗号技術的に結びつける「インテントバインディング」などの技術導入が進む見通しである。

• アカウント乗っ取り（ATO）に対するサイバー攻撃の手口が、パスキー普及に伴い、アカウント復旧や追加認証といった「本人確認（認証周辺）」のステップへと急速にシフトしている。セキュリティ専門メディア「The Hacker News」が2026年7月8日に公開した記事によると、主要なログイン経路のセキュリティが強化された結果、攻撃者はより脆弱なプロセスへと標的を移行させているという。

• これまでアカウント乗っ取り（ATO）は、自動でログイン試行を繰り返す「クレデンシャルスタッフィング（流出したIDとパスワードを用いてログインを試みる攻撃手法）」が主流だったが、デバイスの生体認証などを利用する「パスキー（パスワードの代わりに生体認証等を用いる認証技術）」の普及で有効性が低下している。FIDO Allianceの2026年調査では、消費者の75%がパスキーを有効化し、企業の68%が導入・検証等を進めており、盗まれたパスワードの価値自体が失われつつある。

• そのため、攻撃の矛先は本人確認やアカウント復旧などの認証周辺プロセスへと移っている。アカウント復旧やデバイス再登録、高額取引時の追加認証、確認用の「マジックリンク（メール等で送られる使い捨てのログイン用URL）」が新たな標的だ。マジックリンクの場合、攻撃者が未検証のディープリンクやSIMスワップ（他人の電話番号を自身のSIMカードに移し替えて乗っ取る詐欺行為）などでリンクを傍受できれば、認証を回避してアカウントを乗っ取ることができる。Veriffが不正対策等の意思決定者約1,200人を対象に行った2026年の調査でも、なりすましやマルウェア、文書偽造といったオンライン詐欺の増加が報告されている。

• さらに生成AIの進化がこの動きを加速させている。Veriffの「Identity Fraud Report 2026」によると、本人確認試行の4.18%が不正であり、提示された画像や動画がAIにより生成・改ざんされた割合は以前に比べて300%増加した。また、なりすましは観測された全詐欺攻撃の85%以上を占めるという。ディープフェイク（AIで作成された精巧な偽の画像や動画）を用いた自撮りや偽装ビデオの注入、合成された身分証明書などは、すでにアイデンティティ詐欺の主流になっていると報告されている。

• こうした状況を受け、元記事では今後12〜18ヶ月の間に組織が講じるべき3つの対策シフトを挙げている。

• 1つ目は「インテントバインディング（ユーザーの操作と取引内容を暗号技術的に紐付ける仕組み）」の重視だ。単なる本人確認を超え、承認しようとしている取引内容との紐付けを保証する。AIを用いた攻撃の高度化に伴い、高リスク取引での暗号的な紐付けは必須要件になりつつある。

• 2つ目は「ネットワーク効果データ」の活用だ。単一のチェックは突破されやすいため、数百万のセッションやデバイスのデータを分析し、共通の詐欺パターンを拡散前に検知する。デバイスやネットワークの信号を統合分析することで、スケールを活かした防御が可能になる。

• 3つ目は規制圧力による基準の底上げだ。欧州の「eIDAS 2.0（欧州の電子的本人確認に関する法的枠組みの改訂版）」やマネーロンダリング防止規則（AMLR）、金融分野のデジタルレジリエンス規則「DORA」などの導入により、強固な本人確認プロセスの義務化が進むと説明している。

• 補足：

• パスワードの排除が進む一方で、復旧プロセスなどの迂回経路が新たな脆弱性となっており、多層的な防衛策の見直しが求められている。