【解説】FIRE済エンジニアが解説｜2段階認証でも守れない！？“鍵”が盗まれる仕組みと対策

〜「鍵」が盗まれるセッションハイジャックの脅威〜

2段階認証していても口座を乗っ取られる！？

「2段階認証していたのに不正アクセスされた」――最近、証券口座の不正利用に関してこのような報告が相次いでいます。
「認証していれば安心」と思っていた方にとっては、非常に不安なニュースです。

この記事では、セッションハイジャックという手法に焦点を当てて、「なぜ2段階認証でも突破されてしまうのか？」をわかりやすく解説します。

※なお、デバイス認証も同じ仕組みで突破されます。

私はシステム開発の経験が25年以上あり、Webセキュリティにも関わってきました。その知見をもとに、専門知識がなくても理解できるように解説しますので、ご安心ください。

2段階認証を突破するセッションハイジャックとは？

鍵を盗まれて中に入られる

2段階認証では、最初に「ID・パスワード」を入力した後、さらに「スマホのアプリやSMS」などで本人確認が求められます。
これに成功すると、サーバー（証券会社）はユーザーに対して一時的な「通行証（セッション）」を発行します。

このセッションこそが、ログイン後のやり取りすべての「鍵」になるものです。
つまり、この鍵（セッション）が盗まれると、2段階認証を突破されなくてもログイン済みと同じ扱いになり、不正に取引されてしまうのです。

セッションハイジャックの原因｜鍵（セッション）はこうして盗まれる

例：マルウェア感染

悪意のあるソフトウェア（マルウェア）に感染すると、ブラウザに保存された鍵を抜き取られます。

例：悪意あるサイトのリンク

悪意あるサイトのリンクにプログラムコードが埋め込まれており、鍵を盗みます。

例：セキュリティホール

証券会社のWEBサイトにセキュリティホールがあると、鍵を盗む不正プログラムコードをブラウザに注入されます。

セッションハイジャック対策｜資産を守るためにできること

ログイン通知を設定していても、セッションハイジャックでは悪意ある人はログインしないので通知されません。対策としてできることは限られていますが、下記のような対策は可能です。

✅ ウイルス対策ソフトを導入・更新

セッション情報を盗むマルウェアを防ぐには、セキュリティソフトの導入と定期更新が効果的です。

✅ 取引履歴を定期的に確認

不正アクセスの早期発見のため、履歴確認を習慣化するのがおすすめです。

✅ 明示的にログアウトする。

基本的なセキュリティ設計を行っているシステムならログアウトにより鍵（セッション）は無効になります。取引後はログアウトすることを習慣化しましょう。

まとめ｜2段階認証は“過信禁物”

2段階認証は強力な防御手段ですが、「ログイン後の鍵（セッション）」まで守ってくれるわけではありません。
この鍵が盗まれれば、あなたの資産は奪われかねません。

しかし、セッションハイジャックは「ナンス（nonce）」と呼ばれる一時的で予測不可能なトークンを使うことで、ある程度軽減することができます。証券会社が基本どおりナンスを導入しているかは気になるところです。

できる対策から始めて自分の身は自分で守りましょう。

セキュリティ対策を網羅的に学んで、体系的にセキュリティ対策を実施することでセッションハイジャックのような高度な攻撃にも対処できます。下記の記事で現状の不正アクセス状況やセキュリティ対策の全体像を学びましょう。

𝕏 @life10work（FIREマニア）をフォロー