Microsoftでも発生した「機械のID」を狙う攻撃とは？ NHIのリスクをNECが解説

NECは7月16日、メディア・ITアナリストに向けて「サイバーセキュリティ勉強会」を開催した。NEC サイバーセキュリティ技術統括部リスクハンティンググループの中島春香氏が、「非ヒューマンアイデンティティ(NHI:Non-Human Identities)」の概要やセキュリティリスク、企業に求められる管理方法を説明した。

「機械同士の合鍵」NHIとは？人のIDとは何が違うのか

NHIとは、人ではなくソフトウェアやシステムに与えられるID（アイデンティティ）を指す。サービス同士が連携したり、クラウド上のリソースへアクセスしたりする際に利用される。

代表例には、複数システムをバックエンドで接続する「サービスアカウント」、自動化サービスがクラウド上のリソースへアクセスするための「ロール」、外部事業者が機能追加や処理の実行に使用する「サードパーティーアプリ」などがある。

NHI(Non-Human Identities)とは

APIキーやアクセストークンはNHIそのものではなく、NHIが認証に利用する「認証情報（クレデンシャル）」だ。ただし、NHIの侵害はこうした認証情報の漏えいや不適切な管理を起点として発生するため、実際のセキュリティ対策では一体的な管理が必要になるという。

中島氏は、人間のIDを「社員証」、NHIを「機械同士の合鍵」に例えて、セキュリティ対策の重要性を説明した。

「社員証には氏名や顔写真があり、所有者が明確です。入退室記録や多要素認証といった防御策があり、社員の退職時には返却や失効の手続きが行われるほか、人事台帳を通じて、誰がどのIDを持っているかも把握できます。一方で、NHIには持ち主に相当する人間が明確に設定されていない場合があります。多要素認証など、人間を対象とした本人確認の仕組みもそのまま適用できず、退職に相当する明確な失効の契機がないため、システムやサービスが使われなくなった後も、アカウントや認証情報だけが残り続けるケースがあります」(中島氏)

「NHI」について説明する中島氏

同氏によると、企業内でNHIを一元管理する台帳が整備されていない場合、NHIが「どこに、いくつ、何の目的で存在するか」を把握することは難しいのが実情だという。

MicrosoftやOktaでも発生、放置されたNHIが侵入経路に

中島氏によると、NHIを起点とするセキュリティインシデントは、すでに大手企業でも発生している。

Microsoftでは、テスト環境から侵入した攻撃者が、管理されていなかったレガシーなOAuth連携アプリを悪用。本番環境へ侵入し、機密通信や機密文書の流出につながった。

Oktaが2023年11月に公表した事例では、従業員の個人アカウントが侵害されたことで個人用アカウントに保存していたサービスアカウントの認証情報が流出し、顧客サポート基盤への不正アクセスが発生した。この事例では、134人の顧客に関する情報が漏えいしている。

「Internet Archiveが発表した事例では、サポート基盤にひも付くアクセストークンが長期間更新されないまま放置され、不正アクセスとデータ漏えいにつながったケースも報告されています。人間のパスワードではなく、機械やシステムに利用させるためのID・認証情報が攻撃の起点となった事例です」(中島氏)

中島氏は「開発やシステム連携では利便性が優先され、NHIの管理は後回しになりやすい」と説明した。

代表的なリスクの一つが、APIキーなどのクレデンシャルをソースコードや設定ファイルへ直接書き込む「ハードコード」である。コードが外部へ公開されたり、リポジトリが侵害されたりした場合、認証情報も同時に流出する可能性があるという。

それ以外にも、「システム連携を容易にするため必要以上に広いアクセス権限を与えること」「認証情報を長期間更新せずに使い続けること」「サービス間通信を十分に監視していないため悪用を把握できないこと」についても主要なリスクとして挙げた。