侵入されなければ、ランサムウェア被害は起こらない！　EDRアラートが鳴らない世界への鍵とは？

おきじー

はじめに

ランサムウェア対策は複雑で、終わりが見えない。EDR、SOC、バックアップ、ネットワーク分離、脅威インテリジェンス…。どれも重要だが、どれだけ投資しても「侵入された後」の対策ばかりが増えていく。
2025年にはアサヒグループホールディングスやアスクルなどのランサムウェア被害が社会にも大きな影響を与えた。これらの会社は十分と思われる対策をとっていたにも関わらず被害に遭っている。どこが問題だったのか？　現状のランサムウェア対策だけで十分なのだろうか？　攻撃者の行動を冷静に分解すると、驚くほどシンプルな事実が浮かび上がる。

侵入されなければ、ランサムウェア被害は起こらない。

これは精神論ではなく、攻撃モデルそのものだ。
そして、この“入口”を最も確実に守れる技術が、FIDO認証である。
本記事では、認証技術者の視点から現在のランサムウェア対策の問題点を検証し、
なぜFIDOがランサムウェア対策として最も費用対効果が高いのか
なぜEDRアラートが激減するのか
なぜ今こそ入口対策を最優先すべきなのか
を体系的に解説する。

■ ランサムウェアは「侵入 → 横移動 → 権限奪取 → 暗号化」で成立する

ランサムウェアは突然実行されるわけではない。
必ず次の“前段階”が存在する。

  1. 社員アカウントの侵害（VPN / AD / RDP / クラウド）

  2. 社内ネットワークへの侵入

  3. 横移動して権限を奪う

  4. データ窃取

  5. 最後にランサムウェア実行

つまり、
侵入されなければ、ランサムウェア被害は起こらない。
これは攻撃者の行動モデルに基づく、揺るぎない事実だ。

■ なぜ企業は「入口対策」を軽視してきたのか

セキュリティ業界には長年、次のメッセージが流れてきた。

  • 「侵入は100％防げない」

  • 「だから侵入後の検知が重要」

このメッセージ自体は正しい。
しかし企業側に伝わるとき、次の“誤解に変換されてしまった。
「入口対策はそこそこでいい」
その結果：

  • パスワード＋SMSのまま放置

  • 認証強化が後回し

  • VPN/AD/RDPの入口が脆弱なまま

  • クラウドアカウントも突破されやすい

こうして “侵入される前提の世界” が作られてしまった。

■ FIDO認証が“入口突破”をほぼ完全に防ぐ理由

攻撃者が使う手法：

  • パスワード使い回し

  • フィッシング

  • MFA疲労攻撃

  • 認証アプリの画面盗撮

  • セッションハイジャック

  • マルウェアによる認証情報窃取

これらは パスワード＋SMS/アプリ認証では突破される。
しかしFIDOセキュリティキーは：

  • 秘密鍵が端末に存在しない

  • 偽サイトでは認証できない

  • セッションを盗んでも認証できない

  • 物理デバイス（所持）＋指紋（生体）で本人性が高い認証が可能

入口突破がほぼ不可能になる。

■ 端末が侵害されてもアカウントは奪われない

ランサムウェア攻撃の前段階では、端末にマルウェアを仕込んで認証情報を盗むのが常套手段。しかしFIDOセキュリティキーは：

  • 秘密鍵が物理デバイス内から出ない

  • キーロガーでも盗めない

  • 画面盗撮でも意味がない

  • Cookieやセッションを盗んでも認証できない

端末が侵害されてもアカウントは守られる。

■ 管理者アカウントをFIDO必須にするだけで被害が激減

ランサムウェアの成功条件は：

  • 管理者権限の奪取

  • ドメインコントローラへの到達

ここをFIDOで守ると：

  • 権限昇格が不可能

  • 横移動が不可能

  • ランサムウェア実行が不可能

攻撃者は“王様の鍵”に触れられなくなる。

■ FIDO導入でEDRアラートが激減する理由

EDRが検知するのは「侵入後の動き」。

  • 不審なプロセス

  • 権限昇格

  • 横移動

  • 認証情報窃取

しかしFIDO導入後は：

  • パスワード窃取 → 無意味

  • フィッシング → 無意味

  • セッション窃取 → 無意味

  • 認証情報窃取 → 無意味

これは意思決定者にとって極めて重要なポイント。

  • SOC負荷が下がる

  • 誤検知が減る

  • 運用コストが下がる

“攻撃を減らす”のではなく、“攻撃の成立条件を消す” からこそ実現できる効果。

“現実的に”FIDO導入する方法

Okta / Auth0 / Entra ID を活用したFIDO導入の最短ルートを紹介する。
ランサムウェア攻撃の入口の主なものとしてVPN・RDP・複合機 の3つに集約される。そして、これらの入口をFIDOで塞ぐことが最も費用対効果が高い。では、実際にどうやってFIDO導入すればいいのか。
結論から言うと、Okta / Auth0 / Entra ID のようなIDaaSを使うと、導入難易度が劇的に下がる。
FIDOサーバーを自前で構築する必要はない。IdP側でFIDOを必須にするだけで、VPNもRDPも複合機も“入口突破が不可能”になる。

■  VPNをFIDO対応にする（最も効果が大きい）

VPNはランサムウェア攻撃の“正面玄関”。
ここをFIDO化すると、攻撃者は入口にすら触れられなくなる。

● 必要なものは、
　・Okta / Auth0 / Entra ID（いずれもFIDO対応）
　・VPN装置が SAML / OIDC / RADIUS のいずれかに対応していること
　　（Cisco、Palo Alto、FortiGate、Check Point などは標準対応）

● 構成イメージ
　1.　VPNログイン画面 → IdP にリダイレクト
　2.　IdP側で FIDO 認証（セキュリティキー）
　3.　認証成功後、VPN接続が許可される

● 効果
　・パスワード攻撃 → 無意味
　・フィッシング → 無意味
　・セッション窃取 → 無意味
　・MFA疲労攻撃 → 無意味
　・VPN装置の脆弱性で認証情報が漏れても → 無意味
VPNの入口突破が構造的に不可能になる。

■  RDPをFIDO対応にする（横移動・権限昇格を遮断）

RDP(リモートデスクトップ)は攻撃者にとって“権限昇格の最短ルート。
ここをFIDO化すると、横移動そのものが成立しなくなる。

● 方法1：Entra ID（Azure AD）でFIDOログオン
　・Windows 10/11 を Azure AD Join
　・FIDOセキュリティキーでWindowsログオン
　・RDP接続時もFIDO認証が必須になる

● 方法2：RD Gateway + Okta/Auth0
　・RD Gateway を SAML/OIDC 連携
　・RDP接続前にブラウザでFIDO認証
　・認証成功後にRDPセッション開始

● 方法3：ゼロトラスト製品でRDPをラップ
　・Cloudflare Zero Trust
　・Zscaler ZPA
　・Tailscale
　　→ いずれもFIDO認証を標準サポート

● 効果
　・パスワード総当たり → 無意味
　・セッション窃取 → 無意味
　・認証情報窃取 → 無意味
　・RDPゲートウェイ突破 → 認証できない
RDP経由の横移動と権限昇格が“構造的に不可能”になる。

■  複合機（MFP）をFIDO対応の世界に組み込む

複合機は“認証情報の宝箱。
ここから奪われたADアカウントが横移動の起点になる。
しかし、FIDO必須の環境では パスワードではログインできない ため、
複合機から認証情報を奪われても攻撃が成立しない。

● 必要なもの
　・Okta / Auth0 / Entra ID で FIDO必須ポリシー を設定
　・複合機に保存するアカウントは最小権限”にする
　・SMB/LDAP/SMTPアカウントはパスワードではログインできない
　　構成にする

● 効果
　・複合機からADアカウントを奪われても → ログイン不可
　・SMB共有への横移動 → 不可能
　・権限昇格 → 不可能
複合機攻撃の“致命傷”である認証情報奪取が無効化される。

■  Okta/Auth0を使うと導入期間が劇的に短縮される

FIDO導入が進まない理由の多くは「難しそう」「時間がかかりそう」
という誤解。しかし、Okta/Auth0を使うと次のようになる。

● FIDOサーバーを自前で構築する必要なし
　WebAuthn登録・認証・鍵管理はすべてIDaaS側が提供。

● VPN・RDPとの連携は SAML/OIDC/RADIUS を設定するだけ
　多くの企業は 数週間でFIDO化が完了 する。

● 運用負荷がほぼゼロ
　・鍵管理
　・認証フロー
　・WebAuthnアップデート
　・セキュリティパッチ
　　→ すべてIDaaS側が面倒を見る。

■ FIDO × Okta/Auth0 は“最短で最強のランサムウェア対策”

VPN、RDP、複合機
この3つの入口をFIDOで塞ぐだけで、
ランサムウェア攻撃の成立条件はほぼ消える。
そして、Okta/Auth0を使えば、
導入期間は短く、運用負荷は低く、効果は圧倒的に高い。

FIDOは“便利な認証技術”ではなく、
ランサムウェア攻撃の入口を構造的に破壊する技術である。
そしてOkta/Auth0は、その導入を最速で実現する。

「同期パスキー」と「セキュリティキー」を使い分ける

入口対策を実現するうえで、FIDO認証器の選択は極めて重要だ。
現在、企業が選べるFIDO認証器は大きく分けて次の2種類。

  • 同期パスキー（Passkey）

  • セキュリティキー（FIDO2ハードウェアキー）

どちらもFIDO認証を実現するが、
ランサムウェア対策という観点では“役割がまったく違う”。
ここでは、それぞれの特徴と、どのように使い分けるべきかを整理する。

■ 同期パスキー（Passkey）：一般ユーザー向けの“利便性重視”FIDO

パスキーは、スマホやPCに内蔵されたFIDO認証器。
Apple、Google、Microsoft が標準サポートしており、
ユーザー体験は非常に良い。
● パスキーのメリット
　・スマホやPCだけで使える
　・導入コストがほぼゼロ
　・登録が簡単
　・生体認証で高速ログイン
　・一般ユーザーの負担が少ない

● パスキーの弱点（ここが重要）
　・秘密鍵がクラウド同期される（Apple ID / Google アカウント）
　・端末が盗まれると“アカウントごと”奪われる可能性がある
　・管理者アカウントには不向き
　・企業が鍵を管理できない
　・BYOD端末に依存する

つまり、
パスキーは “利便性は高いが、攻撃者に奪われる可能性がある認証器”。
これは将来的なリスクではなく現時点で「パスキーハイジャック」や「生体ハイジャック」でパスキーが乗っ取られてしまうリスクが存在する事実
　※パスキーの乗っ取り手法と対策については公開の場で詳細を説明する
　　と悪用される可能性があるため、本記事では概要のみに留めます。
　　詳細について知りたい方は、個別にお問い合わせ下さい
パスキーは一般ユーザーには最適だが、
管理者アカウントや高リスク業務には向かない。
つまり、同期パスキーを“入口”防御に使うのは危険で禁止すべき

■ セキュリティキー（FIDO2ハードウェアキー）：
入口突破を“構造的に不可能”にする認証器

セキュリティキーは、USB/NFC/Bluetooth で接続する物理デバイス。
秘密鍵は物理デバイス内から一切出ない。
● セキュリティキーのメリット
　・秘密鍵がクラウドに同期されない
　・端末が侵害されても鍵は盗まれない
　・フィッシング完全耐性
　・セッション窃取が無意味
　・企業が鍵を配布・管理できる
　・管理者アカウントに最適
　特に 指紋認証機能付きセキュリティキー は強力で、
　・本人の指紋が一致しないと鍵が動作しない
　・盗まれても攻撃者は使えない
　・管理者アカウントの“王様の鍵”を守れる
　　という特徴がある。
● セキュリティキーの弱点
　・物理デバイスの配布が必要
　・紛失リスク（ただし指紋認証機能付きなら悪用されない）
　　※指紋認証機能がなくてもPINの設定は可能
　・一般ユーザーにはややハードルが高い

■ ランサムウェア対策としての最適解

入口（VPN/RDP）はFIDOセキュリティキー必須化した上で
一般ユーザーはパスキー、管理者はセキュリティキーを使い分ける
パスキーとセキュリティキーは“どちらが優れているか”ではなく、
役割が違う。
　・パスキー　→ 　利便性、安価
　・セキュリティキー　→　防御力
この組み合わせを最適化して費用対効果を高める。
ランサムウェア攻撃の成立条件は、
“認証突破 → 横移動 → 権限昇格” の3段階。
このうち、最も重要なのは 権限昇格の遮断。
攻撃者は最終的に 管理者アカウント を奪いに来るため、
ここをパスキーで守るのは危険。
この対策により、
VPN突破 → 不可能
RDP突破 → 不可能
複合機から認証情報奪取 → 無意味
権限昇格 → 不可能
EDRが鳴らない世界が現実になる。

セキュリティキーを普及させるための「FIDOカード」という解決策

FIDOセキュリティキーは、ランサムウェア対策として最も強力な認証器だ。
しかし、USBタイプのセキュリティキーは 普及してこなかった。
理由はシンプル。
　・高価
　・紛失しやすい
　・持ち歩くのに不便
　・社員証と別で不便
　・企業が管理しにくい
つまり、
“正しい技術”が“正しい形状”になっていなかった。
そこで必要になるのが、
セキュリティキーをカード化した「FIDOカード」 という発想だ。

■ FIDOカードのメリット（USBキーでは実現できない価値）

　● 低価格化
　　カード形状は大量生産に向いており、
　　USBキーより圧倒的に安価に作れる。
　● 設備投資不要で大量生産が可能
　　既存のカード製造ラインをそのまま使えるため、
　　数万〜数百万枚の発行が容易。
　● 紛失リスクの大幅低減
　　カードは財布・社員証ケースに入れて持ち歩けるため、
　　USBキーより紛失率が圧倒的に低い。
　● Mifareカードとしても使える
　　社員証・入館証・勤怠カードと統合できる。
　　「1人1枚」で運用できるのはカード形状だけ。
　● 企業が管理しやすい
　・発行
　・回収
　・無効化
　・在庫管理
　・退職者対応
同期パスキーでは絶対に実現できない領域。

■ 指紋認証付きFIDOカードという“次の標準”

指紋認証機能を搭載したFIDOカードは、
セキュリティキーの弱点をすべて解消する。
　・バッテリーレス
　　　充電不要。NFC給電の電力だけで指紋認証も動作する。
　・ スキミング耐性
　　　指紋認証成功後にNFCチップが動作する
　　　盗難時の悪用が不可能。
　・ 本人使用の証跡を担保
　　　「誰がログインしたか」を物理的に保証できる。
　　　管理者アカウントに最適。
　・ iPhone / Windows PC で利用可能
FIDOカードは、セキュリティキーを企業で本当に使える形に進化させたもの
そして、ランサムウェア対策として最も重要な
入口（VPN/RDP/管理者）を守るための“現実的な鍵” になる。

まとめ：侵入されなければ、ランサムウェア被害は起こらない

　・ランサムウェアは「侵入 → 横移動 → 権限奪取 → 暗号化」で成立する
　・入口を突破されなければ攻撃は成立しない
　・FIDO認証は入口突破をほぼ不可能にする
　・管理者アカウントをFIDO必須にするだけで被害は激減
　・EDRアラートも大幅に減り、運用コストが下がる
セキュリティ意思決定者が最初に投資すべきは、
“侵入されない仕組み”を作ること。
そしてその最も現実的で効果的な手段が、
FIDO認証の導入と必須化 である。

おわりに

セキュリティ対策は複雑に見えるが、攻撃者の行動モデルを理解すれば、
今打つべき対策の優先順位は明確だ。
侵入されなければ、ランサムウェア被害は起こらない。
入口を守ることは、最もシンプルで、最も効果が高く、最も費用対効果の良い対策である。この部分が今まで疎かにされてきた。
そして今、FIDO認証というその入口を確実に守れる技術が、ようやく現実的な形で手に入った。
本記事の対策は現在実施可能な技術で構成されすぐに導入できる。
あなたの組織のセキュリティ戦略に、
“侵入されない仕組み”という視点を取り戻してほしい。
その第一歩が、FIDO認証の必須化だ。

いいなと思ったら応援しよう！