2要素認証を突破するサイバー攻撃に組織はどのように対応するべきか：半径300メートルのIT

組織のセキュリティと同じように、サイバー攻撃も巧妙化しています。2要素認証において、組織に重要な取り組みとマインドセットを解説します。

[宮田健，ITmedia]

　先日「2要素認証」について本連載で取り上げました。2要素認証はパスワードだけに頼らない認証方法であり、「次の世代の手法」とされてきました。しかし、ここで"次"とされてきたものも、攻撃者の進化により“今”となり、すぐに“過去”になるでしょう。

　2要素認証と一言で言っても、その強度は手法によって変わります。今回紹介する事件はそれを教えてくれる教訓となるものです。一緒に学んでいきましょう。

先進的IT企業が高度な手法で攻撃される

　今回取り上げるのは2つの企業です。1つ目はクラウドサービスとしてコミュニケーションプラットフォームを手掛けるtwilioです。twilioは2022年8月10日、自社が標的型攻撃を受けたことをレポート「Incident Report: Employee and Customer Account Compromise」で発表しました。

　2022年8月4日に発生したこの攻撃は、従業員およびその家族に対してピンポイントでSMSによるフィッシング（スミッシング）が行われたことにより発生しました。なぜ従業員の電話番号が漏れたのかは現時点でも不明ですが、明らかにtwilioを狙い撃ちした標的型攻撃であることが分かります。SMSの内容も、送り先が従業員やその家族であるのを把握している内容でした。