金融庁の指針改定後、パスキーの導入が進む中、証券取引サイトでパスキーを使った不正取引の可能性が報じられた。同期型パスキーの仕組みと秘密鍵の管理場所、被害リスクと対策を解説する。
昨年の不正アクセス事件を受け、金融庁は総合監督指針を改定し、多要素認証としてフィッシング耐性のある認証方式を必須化した。これを背景に、証券取引サービスを含む事業者は従来のパスワードの代わりにパスキーの導入を進め、利便性と安全性を両立させようとしている。
パスキーは端末上で公開鍵と秘密鍵を用いて認証を行い、チャレンジに端末内の秘密鍵で署名をしてサービス側が公開鍵で検証する。同期型は秘密鍵をクラウドと端末で管理する一方、固定型は端末内でのみ管理する。多くの導入は同期型が中心で、複数端末利用や機種変更時の利便性が高い。
今回の事案では、パスキーの認証設定がある証券取引においても不正取引が疑われ、プラットフォーマー側のアカウント乗っ取りが関与した可能性があると報じられた。攻撃者はプラットフォームのID窃取を狙う傾向が強まっており、 phishing対策と端末の不正ログイン監視が重要になる。
対策として、プラットフォームのアカウント監視やフィッシングメール対策を強化し、現在ログイン中の端末を定期的に確認することが挙げられる。さらに組織向けにはクライアント証明書を追加し、秘密鍵を端末内で厳格に管理する方法が紹介されている。