近年、大手企業の電子商取引（EC）サイトが次々と不正アクセスの被害に遭うという深刻な事態が発生しています。その背景には、多くの企業が採用している「パスワード」という認証方式が抱える大きな“罠”が存在しているのです。パスワードは手軽に本人確認ができる便利な仕組みである一方で、その組み合わせがインターネット上に大量に流出してしまっているため、犯罪者は容易に入手し悪用できてしまうのが現状といえるでしょう。しかしながら、多くの企業はシステムの刷新にかかる費用や、顧客が利用しにくくなることによる“顧客離れ”を懸念し、旧来の仕組みをそのまま使い続けている傾向があります。このままでは、さらなる被害の拡大を食い止めることは非常に困難です。
氏名や住所といった基本情報だけでなく、購入した商品、さらには体形に関するデータまで、顧客情報が犯罪者の手に渡ってしまう――。このような恐ろしい事態が現実に起きています。カジュアル衣料大手のファーストリテイリングは2019年5月、同社が運営する通販サイトが不正侵入を受け、約46万人もの顧客情報が閲覧された可能性があると公表しました。これは、犯罪者が事前に不正に入手したIDとパスワードの組み合わせ（リスト）を複数用意し、それを手当たり次第に試行して不正ログインを試みる「リスト型攻撃」と呼ばれる手法によるものと見られています。
このリスト型攻撃は、今や決して珍しい手口ではありません。たとえば、NTTドコモの通販サイトも、2018年に同様の被害を受けています。この際には、犯罪者が契約者のふりをして米アップルのスマートフォン「iPhone X（テン）」を約1,000台、総額およそ1億4,000万円相当も不正に購入するという大規模な被害が発生しました。不正購入された商品は、契約者とは無関係の第三者がコンビニエンスストアなどで受け取り持ち去ったとのことです。今後も、このような手口による被害が続く可能性は極めて高いと考えられます。なぜなら、IDとして使われるメールアドレスとパスワードの組み合わせが、ネット上に膨大に流出しているからです。
セキュリティ企業であるソリトンシステムズの調査によると、全世界で少なくとも27億件、そして日本に関連する情報だけでも2,000万件のパスワードが、海外のファイル共有サイトなどを通じて容易に手に入るとされています。多くのネット利用者は、複数のオンラインサービスで同じパスワードを使い回している傾向があります。このため、一度IDとパスワードの組み合わせが判明してしまうと、被害はまるで芋づる式のように次々と拡大してしまうのです。このような状況下では、犯罪者による「なりすまし」を防ぐことは非常に難しいといえるでしょう。お客様にサイトを安心して利用していただくためには、旧来のパスワードに依存しない「脱・パスワード」への対策が、今まさに求められているのではないでしょうか。
しかしながら、多くのECサイト運営企業は、いまだに抜本的な対策を打ち出せずにいます。不正に侵入されたお客様のパスワードを一時的に無効にして再設定を促す、またはパスワードを使い回さないよう注意喚起を行うといった、応急処置レベルに留まっているのが実情です。これには大きく分けて二つの理由が挙げられます。一つは「コスト」の問題です。例えば、お客様のスマートフォンを使って本人確認を行う「2段階認証」などの高度なセキュリティシステムを導入するためには、システムの改修が避けられません。作業自体は1カ月程度で完了する場合が多いものの、大規模なサイトでは改修による不具合が生じないかどうかの検証に相当な期間と手間がかかるため、1,000万円を超えるコストが見込まれているそうです。
もう一つの理由は、「顧客離れ」に対する強い懸念です。セキュリティを強化すると、一般的にはサイトの利便性、すなわち「使い勝手」が悪くなってしまう傾向があります。セキュリティ企業ラックの倉持浩明・最高技術責任者（CTO）も、この懸念を指摘しています。もし多額の費用をかけてシステムを刷新した結果、利用しにくくなったと感じたお客様が他の競合サイトへ流出してしまったら、それは「本末転倒」です。ある大手ECサイトの幹部は、「投資に見合う効果を判断できない」と漏らしているように、競合他社が得をするのを恐れて合理的な判断ができない、いわゆる「囚人のジレンマ」のような状況に陥っているのが現状です。
ですが、この「何もしない」という態度は、もはや許されない時期に来ていると考えます。なぜなら、パスワードのみに依存しない、より安全な仕組みが次々と登場しているからです。たとえば、ヤフーは2018年に、指紋認証などのスマートフォンに搭載されている生体認証機能でログインできる仕組みを導入しました。これにより、文字のパスワードを毎回入力する必要がなくなり、万が一スマホが盗まれたとしても悪用されにくくなります。また、米マイクロソフトは2019年5月、パソコン用OSである「ウィンドウズ」に搭載されている顔認証機能を、国際的な認証技術の標準規格「FIDO（ファイド）」に対応させました。
FIDOとは、Fast IDentity Onlineの略で、パスワードを使わずに生体認証や公開鍵暗号技術を用いて安全に本人認証を行うための世界的な規格のことです。また、指紋や顔認証を使わずとも、先述の2段階認証を適切に活用するだけでも、なりすましのリスクを大幅に軽減できます。NTTドコモも、2018年の被害発覚後、この2段階認証の利用を改めてお客様に強く促しました。確かに一筋縄ではいかない問題ではありますが、企業がシステム投資を怠った結果、被害を被るのは他ならぬお客様である消費者です。パスワードだけに頼り続ける旧態依然とした仕組みを放置する企業は、遠くない将来、お客様からの信用を失い、立ち行かなくなるでしょう。企業は、顧客体験とセキュリティの両立を目指し、未来への投資を積極的に行うべきだと私は強く主張いたします。
コメント