「それに使えるアプリがある」という言葉は、単なる印象的なマーケティングフレーズではなく、現実のものとなっています。モバイルアプリに関する統計データ集によると、現在、一般的なユーザーのスマートフォンには80個を超えるアプリがインストールされています。そのうち、1日に平均9個のアプリを毎日利用し、1か月では30個を利用しています。
データへの飽くなき欲求と消費者行動を把握したいというニーズから、こうしたアプリの多くはアカウントを必要とするでしょう。ソーシャルメディアのアカウントと連携する場合でも、独立したアカウントを使用する場合でも、ほとんどのアプリでは、便利な機能や興味深い機能を利用するために登録を促されます。たとえば、Candy Crushで今どのレベルから先に進めずにいるかを共有する機能などです。
そうしたアプリには、ソーシャルメディアも間違いなく含まれています。さらに別のデータ（おそらくアプリ自体から収集されたもの）によると、2018年には1人当たり平均8.5個のソーシャルメディアアカウントを保有していました。これは、2014年の平均4.8個のほぼ2倍です。
ここからが興味深いところです。2018年のインターネットユーザー1人当たりのメールアカウント数は、参照するデータがRadicatiかDMAかによって、それぞれ平均1.8件または2.5件でした。いずれにしても、ユーザー1人当たりのメールアドレス数は、日常的または月単位で利用するソーシャルメディアのアカウント数やアプリ数を大幅に下回っています。
それも当然でしょう。通常、ソーシャルメディアのアカウントとメールアドレスは1対1で対応しているわけではありません。私たちは携帯電話と同じくらいメールアドレスにも愛着を持つようになっています。DMAの調査では、51%の人が同じメールアドレスを10年以上使い続けていることがわかりました。驚くにはあたりません。私自身、同じ個人用メールアドレスを20年以上、会社のメールアドレスも今では13年近く使っています。
この2つのメールアドレスが、平均をはるかに上回る数のアプリやソーシャルメディアアカウントに紐付いていることは、容易に想像できるでしょう。
また、何らかの情報漏えいによって侵害されたメールアドレスのリストに、私個人のメールアドレスが何度も載っていることも驚くにはあたりません。その回数はかなりのものです。統計から見て、ほとんどの人が同じような経験をしているのではないでしょうか。さらに、ソーシャルメディアアカウント数のほぼ直線的な増加が今後4年間続くと仮定すれば、攻撃対象の増加に伴い、その回数も増える可能性があります。
では、この点を踏まえて、パスワード管理ベンダーであるLastPassの以下の調査結果をご覧ください：
- 従業員が利用する上位30ドメインのうち43%は、Dropboxなど、一般消費者にも人気のアプリです
- 50%の人が、個人用アカウントと仕事用アカウントで異なるパスワードを設定していません
これだけでも懸念すべき結果ですが、まだ続きがあります。同じ調査では、従業員1人あたり平均6個のパスワードを共有していることが判明しました。つまり、同僚と6個ものパスワードを共有しているのです。
セキュリティ担当者の皆さま、まずは深呼吸しましょう。
セキュリティは全員の責任であるという教育や度重なる注意喚起にもかかわらず、企業と消費者の境界は日常的に侵害され、アプリやパスワードに関する最も基本的なセキュリティ対策さえ完全に無視されています。VerizonのData Breach Investigations Reportでは、従業員の70%以上が職場でパスワードを使い回していることが明らかになりました。
そのため、組織は自社の企業資産を認識し、より強固な保護策を導入することが重要です。通常、企業資産へのアクセスには、平均2.5個あるメールアドレスのいずれかが使用されます。多要素認証（MFA）の使用とパスワードの複雑性要件の導入は、攻撃者がブルートフォース攻撃によって価値の高いデータソースへ容易に侵入するのを防ぐうえで、特に有効な防御策です。また、MFAではさらに一段階の認証、つまりほとんどの同僚には完了できない追加の手順が必要になるため、パスワード共有に対する特に有効な防御策の1つでもあります。
アカウントが1つ漏えいするたびに、また業務で利用するアプリが1つ増えるたびに、リスクは高まります。従業員によるパスワードの共有、1つの固定メールアドレスに複数のパスワードがひも付くこと、さらに、こうした実態とその効果的な悪用方法を把握している攻撃者によって、リスクが生じます。
MFAは万能薬ではありませんが、スマートフォン上のアプリや、個人および企業の領域で利用されるアプリの増加に伴って拡大し続けるリスクへの対策を始めるうえで、有効な第一歩です。
| すでにBIG-IP APMをご利用の場合は、認証プロセスにMFAを追加するための以下のオプションをご確認ください。 |
著者について
Lori MacVittieは、F5のOffice of the CTOに所属するDistinguished Engineer兼Chief Evangelistであり、アプリケーションデリバリ、自動化戦略、インフラストラクチャに関する深い専門知識を有しています。AIエージェントのガードレール策定、脆弱なマルチクラウドアーキテクチャの分析、スケーラブルなシステムの限界の検証など、複雑な事柄を明快にすることで知られています。アプリケーション開発、ITアーキテクチャ、ネットワークおよびシステム運用の分野で、30年以上にわたる業界経験を有しています。F5入社前は、受賞歴のあるテクノロジー編集者として活躍していました。 MacVittieはコンピューターサイエンスの修士号を取得しており、セキュリティ、クラウド、エンタープライズアーキテクチャにわたる分野で多数の著作を発表しています。また、テーブルトークゲームとビデオゲームをこよなく愛し、チーズについては遠慮なく強いこだわりを語ります。
Lori Mac Vittieのその他のブログ記事関連するブログ記事
F5 Application Study Tool：OpenTelemetryによるF5 BIG-IP環境の監視
F5の新しいオープンソースツールは、BIG-IP環境を詳細に可視化し、データを追跡するとともに、強力でカスタマイズ可能なインサイトを得るための基盤を提供します。
F5 BIG-IPでAI防御を実現
F5 BIG-IP Advanced WAF、BIG-IP APM、BIG-IP SSL Orchestratorが、生成AIアプリ向けに包括的なセキュリティソリューションを提供する仕組みをご覧ください。
F5 Advanced WAFによるGraphQL APIの保護
ここ数年、多くの組織がデジタルトランスフォーメーションを進めており、COVID-19のパンデミックによってその動きは加速しています。
アプリケーションサービスの現状 通信業界版：リーダーとしての台頭
通信ネットワークが進化し、さまざまな業界の幅広いユースケースに対応するなか、通信業界の回答者がテクノロジーリーダーとしての存在感を高めていることがわかります。
デジタルトランスフォーメーションは、単なるペーパーレス化ではない
デジタルトランスフォーメーションは、単なるペーパーレス化ではありません。真のモダナイゼーションにアプリケーションアーキテクチャとセキュリティの再構築が必要な理由を、F5ブログでご覧ください。
やめましょう。もう本当にやめましょう。HTTPSはHTTPより高速ではありません。
もうやめましょう。HTTPSはHTTPより高速ではありません。プロトコルのパフォーマンスに関する微妙な違いと、暗号化トラフィックを適切に最適化する方法については、F5ブログをご覧ください。