Entra IDに重大な脆弱性、FIDO認証を回避可能と専門家が警告

セキュリティ研究者らは、Microsoftの「Entra ID」において、FIDO認証を容易に回避できる脆弱性が存在することを明らかにした。Proofpointの最新調査によると、一部のクライアント環境ではFIDOがサポートされず、代替のログイン方式に切り替わる仕組みを攻撃者が悪用できる可能性があるという。

FIDO認証はフィッシングや認証情報の盗難に対する最も有効な対策の一つとされているが、今回の発見はその強固な防御に弱点が存在することを示している。研究者は、攻撃者が標的ユーザーをFIDO以外の認証方法に誘導し、その認証情報を傍受する手法を確認した。

これにより、業界標準のセキュリティ対策を導入している企業や個人であっても、重要アカウントへの不正アクセスを許してしまうリスクがある。専門家は、追加的な緩和策を講じる必要があると警告している。

今回の発表は、認証技術が進化しても、利用環境や実装における抜け穴が依然として攻撃者に悪用され得ることを改めて示すものとなった。