マシン向け認証情報の「でっち上げ」に懸念、人間を模した合成アイデンティティ詐欺の手法がシステム内部にも波及
要点
- 実在しない情報を組み合わせて偽のアカウントを作成する「合成アイデンティティ詐欺」の手法が、システム用の非人間アイデンティティ（NHI）にも悪用されつつある。
- 従来の対策は「既存の認証情報の盗難防止」が中心だが、「最初から偽のアイデンティティをでっち上げる」手法は検知が極めて難しい。
- 捏造されたマシン・アイデンティティは、環境の命名規則やもっともらしいメタデータを踏襲し、管理者の目をすり抜ける。
- 攻撃者は、偽のサービスアカウント作成、一時的な偽ドメインコントローラー登録（DCShadow）、既存オブジェクトへの認証情報注入（シャドウ資格情報）などを用いる。
- 捏造されたアイデンティティには「所有する人間」が存在しないため、異常検知アラートが鳴りにくく、静かに権限を拡大しやすい。
セキュリティ専門メディア「The Hacker News」は2026年7月23日、人間を標的とする「合成アイデンティティ詐欺」の概念が、システム用の「非人間アイデンティティ（NHI）」にも及びつつあるとする分析を報じた。これまで見過ごされがちだった、システム内に実在しない偽のアイデンティティがでっち上げられるリスクについて、セキュリティ対策の盲点になっていると警鐘を鳴らしている。
「合成アイデンティティ詐欺」の仕組みとマシンへの応用
実在しないデータを組み合わせて偽の個人を作る「合成アイデンティティ詐欺（実在する個人情報の一部と架空の情報を組み合わせて、存在しない偽の個人を作り出す詐欺）」は、被害者による監視がないため、発覚するまでにシステム内で信用を積み重ねてしまう特徴があり、検知が困難である。
この詐欺モデルと同様の原理が、APIキーやサービスアカウントなどの「非人間アイデンティティ（NHI：人間以外のシステムやプログラムに割り当てられる認証情報）」に対しても発生している。
多くのセキュリティチームは既存のNHIの盗難防止に注力しているが、最初からでっち上げられた「捏造されたマシン・アイデンティティ」のリスクは議論されていない。攻撃者は既存のアカウントを乗っ取るのではなく、本物そっくりの属性を持つ偽のアカウントを新規作成して環境に紛れ込ませる。NHIが急増する中、ガバナンスが不十分な環境では、こうしたアカウントが見逃されやすい。
捏造されたマシン・アイデンティティの特徴
捏造されたマシン・アイデンティティは、稼働環境の命名規則を引き継ぎ、正しいドメイン内に配置され、本物と見分けがつかないメタデータを持ち、他の正規のNHIと同じような権限を要求する。
何万ものサービスアカウントが存在する環境では、日常的な業務プロセスで生成されたアカウントのように見えるため、管理者がディレクトリを目視確認したとしても見逃されてしまう。また、乗っ取られたアカウントではないため、正規のユーザーがログイン通知や不審な挙動に気づくこともなく、防御側のアラートにかかりにくいという特徴もある。
攻撃者が偽のアイデンティティをでっち上げる3つの手法
攻撃者が環境内に偽のアイデンティティを挿入する主な手法として、以下の3つがある。
-
不正なサービスアカウントの作成
システムへ侵入した攻撃者が、既存のアカウントに酷似した属性を持つアカウントを新規作成する手法。正規の承認を受けていないにもかかわらず本物のように振る舞う、でっち上げの典型例である。 -
DCShadow
ドメイン管理者権限を持つ攻撃者が、一時的に偽の「ドメインコントローラー（ネットワーク上の認証を一元管理するサーバー）」を登録する手法。悪意ある変更を信頼されたサーバー間の複製処理に見せかけて同期させることで、システム全体の信頼性をそのまま引き継ぐ。 -
シャドウ資格情報
Active Directoryなどのシステムにおいて、既存のオブジェクトに対して攻撃者がコントロールできる認証情報を密かに植え付ける手法。オブジェクトそのものは変更されていないように見えるため、極めて目立ちにくいやり方で偽のアイデンティティを実質的に偽造できる。
「合成ペルソナ」との違いと今後の脅威
NHIの業界団体「NHI Management Group」は、人間を欺く目的で作成されるプロフィールなどを「合成ペルソナ（人間を騙すために偽装されたキャラクター）」と定義している。一方、「捏造されたマシン・アイデンティティ」は、人間ではなくシステム内部に深く潜り込み、実際の特権を保持して動き続ける「偽の機械」である。
この機械側の偽装アカウントが注目を集めていないこと自体が、セキュリティ上の重大な脅威となっている。盗まれたアカウントであれば、通常とは異なる場所からのログインによって検知できる可能性がある。しかし、そもそも「所有者である人間」が存在しないでっち上げのアカウントは、不審な動作や秘密情報の漏洩が起きても警告システムを素通りしてしまう。NHIが急増する中、監視の網から外れたアカウントが静かに権限を拡大していくリスクに対して、企業は警戒を強める必要がある。