2025年12月20日（土）
～ Google Workspaceですべてのパソコンをただの窓にするプロジェクト ～
こんにちは。プロジェクト主宰です。
前回は「データ整理」について話しましたが、今回はこのプロジェクトの要（かなめ）、「鍵」の話です。
PCをただの「窓」にするということは、その窓から見えるクラウド上のデータこそが「本体」になるということ。つまり、アカウントが乗っ取られたら、人生や会社の資産をごっそり持っていかれるのと同義です。
「私はスマホにコードが届く2段階認証（2FA）を設定しているから大丈夫」 「毎回コードを入れているから、破られるはずがない」
そう思っていませんか？ 残念ながら、その「最強の無料セキュリティ」と言われた2段階認証でさえ、今や完璧ではありません。
今日は、2段階認証が突破される具体的な手口と、それを防ぐための「ほぼ完璧」な認証方式について、私の冷や汗が出るような失敗談を交えてお話しします。
ITのプロの私でさえ「あわや」だった話
「そんな怪しいサイト、自分は引っかからないよ」 そう思うかもしれません。ですが、実はセキュリティに人一倍うるさい私でさえ、2年ほど前に「あわや」という経験をしました。
ある特定の業務ツールを使おうとしたときのことです。 いつもの画面、いつものデザイン。私は疑いもせずパスワードを入力してしまいました。 もし、その後に2段階認証コードまで入れていたら……完全にアウトでした。
気づいたのは、「URLが微妙に違う」ことだけ。 それは、特定の業種を狙い撃ちにした、非常に精巧なフィッシングサイトだったのです。
「人間はミスをする」。 寝ぼけている時、焦っている時、業務で急かされている時。犯人はそんな「心の隙」を突いてきます。 だからこそ、「気をつける」という精神論では守れません。「人間が判断しなくていい仕組み」が必要なのです。
2段階認証は、なぜ突破されるのか？
結論から言えば、2段階認証を突破する方法は存在します。 ハッカーが映画のように暗号解読をするわけではありません。もっと原始的で、かつ巧妙な方法を使います。
主な手口は以下の3つです。
1. 中間者攻撃（AiTM：Adversary in the Middle）
これが現在、最大の脅威です。いわゆる「リアルタイムのオレオレ詐欺」のようなものです。
- 攻撃者は、本物そっくりの「偽ログインサイト」へのリンクをメールで送ります。
- あなたがそこでIDとパスワードを入力すると、攻撃者のサーバーがそれをリアルタイムで本物のサイト（GoogleやMicrosoftなど）に転送します。
- 本物のサイトは「2段階認証コード」を求めます。
- 攻撃者の偽サイトも、あなたに「コードを入力してください」と表示します。
- あなたが入力したコードを、攻撃者がそのまま本物のサイトに入力します。
これで突破完了です。あなたが正規の手順を踏んでいる間に、裏側で攻撃者がログインを完了させ、セッション（ログイン状態）を乗っ取ってしまうのです。
2. MFA疲労攻撃（MFA Bombing）
「はい」を押すだけで承認できるアプリ通知型の2段階認証で使われる手口です。
攻撃者は真夜中に何度もログインを試みます。あなたのスマホには「ログインを承認しますか？」という通知が嵐のように届きます。 「うるさいな、誤作動か？」と寝ぼけ眼で「承認」を押してしまった瞬間、あるいは通知を止めるために承認してしまった瞬間、攻撃者は侵入に成功します。
3. セッションハイジャック
これは「認証そのもの」をスキップする裏技です。ウイルス感染などで、ブラウザに保存されている「ログイン済みチケット（Cookie）」そのものをコピーして盗み出します。これを使えば、パスワードも2段階認証も無視して、いきなり「ログイン後の画面」に入ることができます。
答えは「パスキー」×「顔認証」
そこで私たちが導入すべきなのが、GoogleやMicrosoftが現在推奨している「パスキー（Passkeys）」です。 これは、従来のパスワード認証とは次元が違います。
なぜパスキーは「ほぼ完璧」なのか？
パスキーの最大の強みは、「偽サイト（URLが違うサイト）では絶対に反応しない」ことです。
パスキーは、ドメイン（URL）と認証情報が紐付いています。どんなに見た目が本物そっくりでも、裏側のURLが正規のものでなければ、パスキーは認証を行いません。 人間が騙されても、機械（パスキー）は騙されないのです。
デスクトップPCを「顔パス」にする方法
パスキーを運用する際、スマホなら指紋や顔認証が使えますが、デスクトップPCはどうするか？
「Web会議用のカメラがあるから大丈夫」と思った方、それでは顔認証できません。 Windows Helloの顔認証には、赤外線（IR）カメラが必要です。写真や映像による「なりすまし」を防ぐため、目に見えない赤外線を照射して、立体の「生体」であることを確認しているからです。
私はAmazonで5,000円ほどのWindows Hello対応外付けカメラを買いました。これをモニターの上に置くだけです。 席に座って画面を見た瞬間、ロックが解除されます。パスコードを入れる必要すらありません。
これを突破するには、犯人が私の家に押し入り、私に拳銃を突きつけて、無理やり目を見開かせて画面を見させるしかありません。 そんな映画のような状況でない限り、セキュリティは破られない。これが「ほぼ完璧」と言える理由です。
パスキー設定時の「罠」と解決策
ここで一つ、ハマりやすいトラブルを共有しておきます。 Windowsでパスキーを設定しようとした際、Googleのログインで「セキュリティキー（USB）を差し込んでください」と表示され、先に進めなくなることがあります。
これは、Windows側の設定が中途半端に残っている時によく起きます。 解決策は以下の通りです。
- Windowsの設定を開く： 「アカウント」→「サインイン オプション」→「パスキー」へ進む。
- 削除する： 該当するGoogleアカウントのパスキー設定を一度削除します。
- Google側も削除： ブラウザでGoogleアカウント管理画面に行き、登録済みの不完全なパスキーを削除。
- 再設定： 改めてWindows Hello（顔認証）を使ってパスキーを登録し直す。
「削除して、登録し直す」。これさえ覚えておけば、スムーズに導入できます。
経営者・管理者様への提言：社員に「パスワードを覚えさせない」
最後に、組織のリーダーへ。 万が一アカウントが乗っ取られた時、「パスワードを漏らした社員が悪い」と責めてはいけません。社員が弁償できるような金額ではない損害が出るのが今のサイバー攻撃です。
悪いのは社員ではなく、「社員がミスできる環境」を放置したシステムです。
- パスワードは人間に覚えさせない： ブラウザに記憶させるか、パスワード管理ツールを使う。
- オートフィル（自動入力）を基準にする： ブラウザがパスワードを自動入力しないなら、「URLが違う偽サイトだ」と疑うよう教育する。
- パスキーを強制する： デバイス（PC）ごとに鍵をかけ、そのPCの前にいる「本人」しか入れない環境を作る。
これらは、Googleアカウント（無料版）でも今日から設定できます。お金はかかりません。必要なのは、リーダーの「やるぞ」という決断だけです。
今日のアクション
あなたのデータを守るために、以下の3つを実行してください。
- パスキーの設定： お使いのGoogleアカウントで「パスキー」を作成してください。
- カメラの確認： デスクトップ派の方は、Windows Hello対応のIRカメラ（約5,000円〜）の導入を検討してください。
- ブラウザに任せる： パスワードを覚えるのをやめ、ブラウザに管理させてください。
「窓」の鍵を最新のものに取り替えれば、中のデータは安全です。 次回は、いよいよ年末。クラウド時代だからこそできる「一瞬で終わるデジタル大掃除」についてお話しします。
FAQ：二要素認証（Google Authenticator）導入に関するよくある質問
導入にあたり、社員から予想される質問と、それに対する回答例をまとめました。
Q1. スマホを家に忘れたり、電池が切れたりしたら、仕事ができなくなるのでは？ A1. その通りです。会社に入れません。 これは「会社の鍵」を家に忘れたのと同じ状態です。出社してもオフィスに入れないのと同じく、クラウドにもログインできません。スマホは肌身離さず持ち歩き、充電管理も仕事のうちと考えてください。（※どうしても困った時のために、管理者が一時的に制限を解除する緊急措置も用意されていますが、あくまで例外です）
Q2. 社用スマホがありません。個人のスマホに入れないといけないのですか？ A2. はい、個人のスマホにお願いします。 Google Authenticatorアプリ自体は、通信を行いませんし、スマホ内の個人情報を読み取ることもありません。単に「時刻に合わせて数字を表示するだけの時計」のようなものです。プライバシー上の問題は一切ないので、安心してインストールしてください。（※どうしても抵抗がある場合は、会社側でハードウェアトークンを用意するなどの代替案を検討します）
Q3. スマホを機種変更したらどうなりますか？ A3. 新しいスマホへの「移行作業」が必要です。 旧スマホのアプリ画面から「アカウントのエクスポート（移行）」メニューを選び、表示されるQRコードを新スマホで読み取るだけで簡単に引き継げます。機種変更前に必ずこの作業を行ってください。旧スマホを下取りに出してしまってからでは手遅れになる場合があります。
Q4. 毎回数字を入力するのが面倒です。もっと楽になりませんか？ A4. はい、もっと楽な方法もあります。（※補足参照） 今回紹介したアプリ以外にも、スマホの「顔認証」や「指紋認証」をそのままログインの鍵として使う方法（パスキー）もあります。これなら数字入力すら不要です。まずはGoogle Authenticatorで二要素認証の習慣をつけ、慣れてきたら、より便利な方法へとステップアップしていきましょう。
Q5. これで本当に安全になるのですか？ A5. 「パスワードのみ」の状態に比べれば、安全性は飛躍的に高まります。 たとえ世界中のハッカーにあなたのパスワードが知れ渡っても、彼らがあなたのスマホ物理的に盗み出し、さらにスマホのロック（顔認証やPINコード）を解除しない限り、ログインは不可能です。これは現時点で、最も費用対効果の高い最強のセキュリティ対策の一つです。
執筆：田上恭由（たがみやすゆき）執筆：田上恭由（たがみやすゆき）
株式会社ワイコム・パブリッシングシステムズ 代表取締役 上級ウェブ解析士
西南学院大学卒。記者を経て中古車情報誌編集部で、世界初となるデジカメ画像利用の誌面完全自動制作システムを開発。平成8年に創業し、同システムは情報誌「カッチャオ」の成長を支えた。現在はウェブ集客支援へ移行し、構築700サイト・運営支援130社超の実績を持つ。近年は生成AIによる業務改革支援や研修開発に注力。講演・セミナー実績多数。「チームがみポンランニングクラブ」会長。
