Broken Authentication（認証の欠陥）とは？
Broken Authentication（認証の欠陥）は、ユーザー認証機能における脆弱性であり、
攻撃者がログイン認証を突破して不正にアカウントへアクセスできるリスクを指します。
この問題は、セッション管理の不備やパスワードポリシーの不適切な運用、
多要素認証の未実装などによって引き起こされます。
実際のデータ漏洩事例
2018年、ホテルチェーン「Marriott」は、Broken Authenticationの影響により約5億件の顧客情報が流出。
攻撃者は従業員の認証情報を悪用し、パスポート番号、連絡先、クレジットカード情報などを盗みました。
この事件は、サイバーセキュリティの重要性を再認識させる象徴的なインシデントとなりました。
攻撃者による悪用方法
攻撃者は以下の手段でBroken Authenticationを悪用します：
- ブルートフォース攻撃（自動化されたログイン試行）
- クレデンシャルスタッフィング（流出したIDとパスワードの再利用）
- セッション固定攻撃（予測可能なセッションIDを利用）
- ログインページの脆弱性を突くフィッシング
なぜ危険なのか？
認証が破られると、攻撃者は正規ユーザーとしてログインし、次のような深刻な被害を引き起こします：
- 機密データへのアクセス（顧客情報、社内資料など）
- システムの不正操作
- なりすましによる金銭的被害
- 同時セッションの乗っ取り
脆弱なコードの例
// セッションIDの再生成なし
HttpSession session = request.getSession();
session.setAttribute("user", username);
// パスワードのハッシュ化なし
String password = request.getParameter("password");
user.setPassword(password);
// 多要素認証なし
if (authService.login(user)) {{
// 認証成功として処理を継続
}}
安全なコード例
// パスワードを安全にハッシュ化
String hashedPassword = BCrypt.hashpw(password, BCrypt.gensalt());
user.setPassword(hashedPassword);
// セッションIDを再生成してセッション固定を防止
HttpSession oldSession = request.getSession(false);
if (oldSession != null) {{
oldSession.invalidate();
}}
HttpSession newSession = request.getSession(true);
newSession.setAttribute("user", username);
// 多要素認証チェック
if (authService.verifyMFA(user, otpCode)) {{
// 認証成功
}}
Broken Authentication を防ぐ方法
安全な認証システムを構築するには、以下のベストプラクティスを取り入れましょう：
- パスワードのハッシュ化（Bcrypt, Argon2など）
- 多要素認証（MFA）の導入
- セッションIDの再生成とタイムアウト設定
- ログイン試行回数の制限（アカウントロックアウト）
- HTTP Only & Secure属性付きクッキー
- パスワードリセットのセキュリティ強化
- CAPTCHAの導入
- ログイン履歴の可視化と通知
企業での影響とコスト
認証の欠陥によるデータ侵害は、金銭的損失、ブランド価値の毀損、法的責任に直結します。
セキュリティ対策の初期投資を怠ると、将来的に大きな代償を支払う可能性があります。
まとめ
Broken Authenticationは、サイバー攻撃の最も基本的かつ危険な脆弱性の一つです。
適切な認証とセッション管理を行うことで、企業は機密情報を守り、
同時セッションの乗っ取りやログイン脆弱性によるデータ漏洩を防ぐことができます。
キーワード: Broken Authentication, ログイン脆弱性, セッション管理, サイバーセキュリティ, 同時セッション, 認証の欠陥, ブルートフォース攻撃, データ漏洩, クレデンシャルスタッフィング, パスワードスプレー, 多要素認証, アクセス制御
