多要素認証
このタグの記事 5 件
Perry Johnson & Associates（PJ&A）の医療データ侵害で4州が和解（最大1,000万ドル、約1,330万人）：漏れた項目と、通知を受けた人がやること
ニューヨーク・コネチカット・ミシガン・ニュージャージーの4州の司法長官は2026年11月6日、医療の文字起こし・コーディング業者Perry Johnson & Associates, Inc.（PJ&A）と関連会社4社（あわせて「Perry Johnsonの各社」）との和解を発表しました。対象は2023年3月の侵害で、全米で約1,330万人に影響したとされます。各州の発表によれば、漏れた情報は、氏名・生年月日・住所・社会保障番号・病院の口座番号・診断名・保険情報と、文字起こしファイルに含まれる検査結果や薬の名前などです。当局は、従業員の認証情報が使われ、遠隔アクセスに多要素認証が求められておらず、記録は残っていたが警報が出る設定になっておらず、会社は約2か月後に攻撃者からの連絡で気づいた、と説明しています。和解の金額は最大1,000万ドルで、すぐに払うのは30万ドル以上、残り970万ドルは合意の条件を満たさない場合に支払う義務が生じます。各社は、セキュリティ計画、多要素認証、暗号化、年1回のリスク評価、データの保持・廃棄の方針を求められます。当サイトの見立て：2023年に通知を受けた人にとって、今回の和解で新しくやることは増えませんが、社会保障番号と診断名が含まれるため、信用凍結と医療の明細の確認を続けてください。
SonicWall SonicOSのSSL-VPNの脆弱性 CVE-2026-19868：SAMLと多要素認証を回避される、KEVに追加（Gen7・Gen8を更新）
CVE-2026-19868は、SonicWallのファイアウォールのOSであるSonicOSのSSL-VPNの脆弱性。2026年11月6日のSonicWallの勧告SNWLID-2026-0014によると、SSL-VPNのログインにSAMLを有効にしている機器で、別の認証方式の正しい認証情報を持つ利用者が、SAMLの認証の仕組みを回避でき、SAMLで求めている多要素認証（MFA）も回避されるおそれがある。SonicWallは、悪用の可能性を示す報告を調査したとしている。米CISAは11月6日にKEV（悪用が確認された脆弱性の一覧）に追加し、期限は11月20日。対象はSonicOS 7.3.3-7015以前のGen7と8.2.2-8015以前のGen8で、修正版は7.3.4-7013以降と8.2.3-8015以降。回避策はない。同じ勧告には、管理画面の脆弱性や、ログイン前にSSL-VPNを止められる脆弱性など、ほかに6件のCVEが載っている。当サイトの結論：Gen7・Gen8のSonicWallのファイアウォールを使っているなら、SAMLの有無に関係なく今すぐ更新し、VPNのログインをSAMLと多要素認証で守っているなら、ほかの方式でSSL-VPNにログインできるアカウントが残っていないか確かめる。
レンタルサーバーが不正アクセスされたとき、利用者は何をすべきか
事業者側の管理環境が侵害される類型は、利用者の設定では防げない。9月10日の調査結果で、販売管理システムへの不正アクセスが2023年4月から2026年3月までの間に発生していたこと、対象は583から951アカウントへ増えたこと、一部の初期パスワードがハッシュ化されていなかったことが公表された。だから守り方は『防ぐ』から『被害範囲を縮める』に切り替える。当サイトの視点＝共用サーバーに置いた情報は読まれた前提で設計し、認証・バックアップ・秘密の置き場所を事業者の外へ分散させる。発行時の初期パスワードを使い続けている契約は、今日変更する。
ワンタイムパスワード（OTP）とは：TOTP/HOTP/SMSの違いと限界
ワンタイムパスワード（OTP）は、一度使うと無効になる短命の使い捨てコード。認証アプリのTOTP（時刻ベース）、HOTP（カウンタベース）、SMS-OTP（SMS送信）がある。固定パスワードの漏洩・使い回しに強く、二要素認証の“持っている物”としてよく使われる。ただし限界があり、中間者型フィッシング（AiTM）ではOTPも偽サイト経由で中継され突破されうる。フィッシングに強いのはドメインに紐づくパスキー。OTPは『無いよりずっと良いが、最終的な対策ではない』。
二要素認証（2FA）とは：2段階認証との違いと方式の強弱
二要素認証（2FA）は、『知っている物（パスワード）』に『持っている物・本人そのもの（コード・鍵・生体）』という別カテゴリの証明を足して本人確認を強くする仕組み。よく混同される2段階認証（2回確認）とは厳密には別概念で、パスワード＋秘密の質問のように同じ種類の確認を2回するだけなら二要素にはならない。強さは方式で決まり、SMS/メール < 認証アプリ（TOTP） < パスキー/物理キー（FIDO2）。当サイトの立場は、まず何であれ2FAを入れること、その上でフィッシングで盗まれない方式へ切り替えること。