パスワードは“必ず突破される”前提で！中小企業でも「すぐに」「簡単に」できるランサムウェア対策「アプリップリキー」

近年、日本企業においても、ランサムウェアを中心としたサイバー攻撃が急増しています。

「うちは小さい会社だから狙われない」「強いパスワードを使っているから大丈夫」——もしそう考えているなら、注意が必要です。

現在のサイバー攻撃は、企業規模を問わず自動・無差別に行われており、パスワード突破を前提に設計されています。実際、ランサムウェア被害は中小企業で増加しており、その多くが“パスワードだけに頼った防御”を突破口に侵入されています。

今回は、なぜパスワード対策だけでは不十分なのか、そして中小企業でも「すぐに」「簡単に」始められる対策として、パスワードレス認証サービス「アプリップリキー」について、わかりやすく解説します。

なぜパスワードは突破されるのか

ランサムウェアとは、パソコンやサーバー内のデータを勝手に暗号化し、使用できない状態にしたうえで、元に戻すことと引き換えに金銭（身代金）を要求する悪意のあるプログラムです。メールの添付ファイルや不正なWebサイトを通じて感染することが多く、企業や個人に深刻な被害をもたらします。

こうしたサイバー攻撃への対策として、

・13桁以上の長いパスワードにする
・記号や大文字を含む複雑なパスワードにする
・定期的にパスワードを変更する

といったパスワード管理を行っている企業は多いでしょう。

しかし、進化し続ける攻撃者にとって、これらは必ずしも有効な対策とはいえません。なぜなら、攻撃者は24時間で50万回以上のランダムパスワードアタックを行い、パスワード解析を完全に自動化しているからです。

さらに、パスワードが流出する原因は多岐にわたります。

・社員の私用アカウント情報が流出する
・社外サービスから情報が漏れる
・カード会社や通販サイトを装った偽サイトに入力してしまう

など、会社とは直接関係のない場所からでも、パスワードは簡単に流出します。

流出した情報をもとに、攻撃者はAIを使って、個人名・会社名・PC名・パスワードなどを結びつけ、侵入の準備を整えています。だからこそ、パスワードだけで守ること自体に限界があるのです。

パスワードだけで守らない仕組み「多要素認証」

「大企業が狙われているニュースなら見たことがある」と思うかもしれません。しかし実際には、中小企業の被害のほうが増えています。その理由は非常にシンプルで、大企業よりもパスワードを突破しやすいからです。

攻撃者は自動で「セキュリティの弱い会社」を探しているため、企業規模は関係ありません。また、取引先の大企業へ侵入するために、まず中小企業を狙う「踏み台攻撃」も多く、被害が発生すると信用問題に直結します。

ランサムウェアの侵入経路は、主に「VPN」「サーバー」「PC」のID・パスワードを突破する3パターンに分かれます。これらを従来の方法で対策しようとすると、高額な最新VPN機器への入れ替えや、高い設定費用が必要になります。

パソコンも同様で、ログインを2段階認証にするためには、別途サーバーの導入や高額な認証システム、設定費用が発生します。さらに、ネットワーク調査や社員教育など、膨大な労力と時間もかかってしまいます。

では、どう守ればよいのでしょうか。その答えの一つが、「パスワードだけで守らない仕組み」に変えることです。代表的な方法が「多要素認証（MFA）」や「二段階認証（2FA）」です。

多要素認証とは、パスワードに加えて、

・スマートフォンに届く通知
・専用アプリでの確認
・物理キー

など、もう一つの要素で本人確認を行う仕組みです。

仮にパスワードが流出しても、攻撃者はそのスマートフォンやキーを持っていないため、ログインできません。実際、多要素認証を導入することで、ほとんどの不正アクセスやランサムウェアの侵入口を防げると報告されています。

中小企業におすすめ！「アプリップリキー」とは？

多要素認証の導入でおすすめなのが、Windows OSログオンをパスワードレスにする多要素認証アプリ「アプリップリキー」です。PC1台につき月額600円で利用でき、専門知識がなくても簡単にセキュリティを高めることができます。

これまでPC利用時に入力していたパスワードは、アプリップリキー導入後、30秒ごとに更新されるワンタイムパスワードに変わります。
パスワードを知っているだけではログインできず、“本人しか入れない”仕組みを追加するため、侵入者が外側の入り口を突破しても、PC内部のデータに到達する前に防ぐことができます。

導入も非常に簡単で、約5分程度で完了します。

アプリップリキーでできること
・パスワードなしでPCログイン
・スマホや専用デバイスで本人確認
・パスワード流出による侵入リスクをほぼゼロに
・社員ごとに認証手段を割り当て、共有パスワードを撤廃
・既存のWindows PCで利用可能

中小企業にとっては、専門知識がなくても導入しやすく、パスワード管理の負担を軽減でき、コストも抑えられる点が大きなメリットです。社員数が少なくてもスムーズに運用でき、退職者が出た場合の管理もしやすいのが特長です。

実際の利用者からは、

「取引先から“ログイン認証対策済みでないと今後取引できない”と言われたが、アプリップリキーで簡単に認証対策済みにできた」
「13桁以上の複雑なパスワード入力から、6桁の数字だけのワンタイムパスワードに変わり、記憶の負担から解放された」
「外回りでPCを持ち出すことが多いが、30秒ごとにパスワードが変わるので、紛失や盗難時の不安が減った」

など、低コストで高いセキュリティ対策ができる点が評価されています。

まとめ：中小企業こそ“パスワード前提”から卒業するべき

ランサムウェアの侵入口の多くはパスワード突破です。だからこそ、パスワードは必ず突破されるものと考えるべきでしょう。

中小企業にとって重要なのは、パスワード前提のセキュリティ対策から卒業することです。セキュリティ対策は難しいもの、専門知識が必要なものと思われがちですが、「アプリップリキー」のような多要素認証を活用すれば、低コストで簡単に、現実的な対策を実施できます。

ランサムウェア被害を大企業だけの問題とせず、ぜひ身近なところから対策を始めてみてはいかがでしょうか。

■「アプリップリキー」製品ページはこちらから