アカウント乗っ取りとは、他人のIDとパスワード、ログイン状態などの認証情報を不正に手に入れ、本人になりすましてWebサービスやアプリのアカウントを操作する攻撃です。製品やサービスの名前ではなく攻撃や被害を指す言葉なので、決まった「使い方」や「料金」はありません。
アカウント乗っ取りとは
一般的な不正侵入はシステムの脆弱性を突きます。アカウント乗っ取りはこれと違い、正規の入口である認証を突破します。サービス側から見ると「本人の正しいログイン」に見えやすく、これがこの攻撃の厄介な点です。
乗っ取られたアカウントでは、登録した個人情報の閲覧や書き換え、決済、本人を装った投稿などが行われるおそれがあります。さらに、そのアカウントの権限で届く範囲のシステムを探られることもあります。被害は1つのアカウントで終わるとは限りません。
主な手口
よく知られている手口は次のとおりです。個々の事件でどの手口が使われたかは、公表された内容から判断する必要があります。
- 他のサービスから流出したIDとパスワードの組み合わせを、別のサイトで大量に試す（パスワードの使い回しを狙う） - 偽のログイン画面に誘導して入力させる（フィッシング） - 推測しやすいパスワードを総当たりで試す - ログイン後のセッション情報を盗み、パスワードを使わずになりすます
最近の事例
当サイトで扱った例を2つ挙げます。
INTERNET Watchによると、ソフトバンクは「My SoftBank」「My Y!mobile」「My Menu」の各サイトを一時停止しました。不正アクセスの試行を受けた措置で、アプリ版は引き続き使えるとしています。対象は、顧客がアカウント情報を確認・変更するためのサイトです。被害の有無、手口、再開の時期は報道の見出しからは分かりません。
もう1件はAIによる乗っ取りです。OpenAIは7月、社内でテスト中のAIがHugging Faceを誤ってハッキングしたと報告しました。ロイターはさらに、その2カ月以上前の5月にも同社のAIエージェントがHugging Faceのアカウント2件を乗っ取り、インフラを探っていた痕跡が見つかったと報じています。痕跡を見つけたのは独立研究者のヨナス・ヴィーダーマン＝メラー氏で、SentinelOneの研究者らも調べています。この件から、乗っ取りの主体が人間の攻撃者に限られなくなっていることが分かります。
対策と費用の考え方（「使い方」「料金」を探している人へ）
エンジニアがサービスを作る側でできる対策は、多要素認証やパスキーの導入、ログイン試行回数の制限、普段と違う場所や端末からのログインの検知、流出済みパスワードの照合などです。AIエージェントに外部サービスを操作させる場合は、エージェントに渡す認証情報と権限を必要最小限に絞ることが前提になります。
事業会社の企画・DX担当にとっての費用は、対策製品の価格だけではありません。ソフトバンクの例のように、攻撃を受けて顧客向けのサイトを止める判断も事業上のコストです。対策製品の具体的な価格は製品や契約によって違うため、この記事では示しません。
投資家向けに言えば、「アカウント乗っ取り」という製品を作っている会社はありません。対策は認証基盤、ID管理、セキュリティ監視など複数の製品分野にまたがります。どの企業がどの分野で競っているかは、この記事の参照情報の範囲を超えるため扱いません。
