リスクベース認証とは？不正アクセスを防ぐ次世代のセキュリティ対策

近年、楽天証券などの金融サイトをはじめとする様々なウェブサービスで、フィッシング詐欺による不正アクセス被害が報告されています。ID・パスワードが流出しても被害を最小限に抑える手段として注目されているのが「リスクベース認証」です。本記事では、リスクベース認証の仕組みとその効果、さらに様々なサービスへの導入の可能性について解説します。

リスクベース認証とは？基本的な仕組みを解説

リスクベース認証とは、ユーザーの行動パターンや状況に基づいてそのユーザーが正当なものであるかを評価し、不審な行動や状況が認識された場合にのみ追加の認証を要求するセキュリティ手法です1。

リスクベース認証の評価要素

リスクベース認証では、以下のような要素を用いてリスク評価を行います：

• アクセス元のIPアドレス

• 使用しているデバイス情報

• 位置情報（通常と異なる場所からのアクセスかどうか）

• アクセス時間帯（普段アクセスしない時間帯かどうか）

• 過去の行動パターンとの一致度5

追加：あまり知られてないけどサイト側はやる気になれば、これだけたくさんのデータをとれる

CyberSyndrome : ENV Checker - 環境変数チェッカー

例えば、普段は東京のオフィスから平日の日中にアクセスするユーザーが、深夜に海外からの接続を試みた場合、システムはこれを潜在的なリスクとして認識し、追加認証を要求します5。

リスクベース認証のプロセス

リスクベース認証の基本的な流れは以下の通りです：

1. ユーザーがIDとパスワードを入力してログインを試みる

2. システム側はアクセス情報と共に、様々な要素を分析

3. リスク無しと判断された場合は、そのままログイン完了

4. リスク有りと判断された場合は、追加認証を要求5

この仕組みにより、ID・パスワードが流出してしまった場合でも、不正アクセスを防ぐことが可能になります。

不正アクセス事例から見るリスクベース認証の重要性

楽天証券では、フィッシングサイトでID・パスワードを盗まれる不正アクセス事例が発生しています。こうした事例では、リスクベース認証が導入されていれば、大部分の不正アクセスは防げたと考えられます。

楽天証券のリスクベース認証導入

楽天証券では2025年3月23日より、PCウェブ・スマホウェブにログインする際に「リスクベース認証」を導入しています4。この認証方式では、お客様のアクセスしてくる端末や環境が普段と異なる場合や、初めてアクセス・ログインするパソコンやスマホなどの場合に、本人確認のための追加認証を求める仕組みとなっています4。

www.rakuten-sec.co.jp

追加認証の方法

楽天証券のリスクベース認証では、「フリーダイヤル認証」と「SMS認証」の2つの追加認証方法が用意されています：

• フリーダイヤル認証：登録済みの電話番号から指定のフリーダイヤルに電話をかけることで認証を完了

• SMS認証：登録済みの携帯電話番号でワンタイムキーを受け取り、入力することで認証を完了2

リスクベース認証の2種類：アクティブ認証とパッシブ認証

リスクベース認証には、「アクティブ認証」と「パッシブ認証」の2種類があります。

アクティブ認証

アクティブ認証は、追加認証においてユーザー操作を必要とする方式です。例えば、スマートフォンに送信されたワンタイムパスワードの入力や、事前に設定された秘密の質問への回答などが該当します5。

この方式の最大の強みは、確実な本人確認が可能という点です。オンラインバンキングでの送金や、重要な個人情報の変更といった、高度なセキュリティが要求される場面で有効です5。

パッシブ認証

パッシブ認証は、追加認証においてユーザーの操作を必要としない認証方式です。この方式では、アクセスしたデバイスの種類やIPアドレス、過去の行動履歴などの情報をもとにユーザーの本人確認を行います5。

利便性が高い一方、アクティブ認証に比べ、ややセキュリティ強度が低くなる懸念があります。そのため、社内システムやイントラネットといった、アクセス環境が比較的限定された環境での使用や、アクティブ認証との併用が推奨されます5。

リスクベース認証のメリットとデメリット

メリット

1. セキュリティの強化

リスクベース認証の最大のメリットは、情報セキュリティの強化です。ユーザーの行動パターンや位置情報などをリアルタイムに分析し、その結果をもとにリスクレベルを評価することで、異なる地域からのアクセスやアクセスパターンの変化など、通常の使用状況から逸脱した挙動を捉え、認証要求を強化できます1。

2. ユーザビリティの向上

リスクベース認証では、リスクが低いと判断されれば系統的に認証要求を少なくすることができます。これにより、ユーザーはセキュリティを強く保ちながらも、毎回複雑なパスワードを入力する手間を省くことができます1。

デメリット

リスクベース認証にはいくつかの注意点もあります：

• 新規ユーザーや行動パターンが不安定なユーザーに対しては誤ったリスク評価を行う可能性がある

• リスク評価のための情報収集や分析には高度な技術やリソースが必要

• プライバシー保護の観点からの懸念1

様々なサイトへのリスクベース認証導入の可能性

リスクベース認証は、楽天証券などの金融サイトだけでなく、多くのウェブサービスに導入する価値があります。

リスクのしきい値調整による柔軟な運用

リスクベース認証の大きな特徴は、サイトで扱う情報の重要度に応じて、追加認証を要求するしきい値を調整できる点にあります。例えば：

• 金融サイト：資産や個人情報を扱うため、しきい値を低めに設定し、少しでも不審な行動があれば追加認証を要求

• SNSサイト：個人のプライバシーに関わるため中程度のしきい値を設定

• 一般的な情報サイト：比較的高いしきい値を設定し、明らかに不審な行動の場合のみ追加認証を要求

Googleのリスクベース認証の実装

Googleは多くのサービスでリスクベース認証を導入していると思われます。普段と異なるデバイスやロケーションからログインすると、追加の認証が求められるケースが多いです。これは、サービスの性質上、個人情報やプライバシーに関わる重要なデータを保護する必要があるためでしょう。

リスクベース認証導入のポイント

リスクベース認証を導入する際には、以下のポイントに注意する必要があります：

1. ユーザー体験とセキュリティのバランス

追加認証の頻度が高すぎると、ユーザー体験が低下します。逆に、しきい値が高すぎると、セキュリティレベルが低下します。適切なバランスを見つけることが重要です3。

2. リスク評価アルゴリズムの精度向上

リスク評価の精度が低いと、誤検知（偽陽性・偽陰性）が増え、ユーザーの不満やセキュリティリスクにつながります。継続的な改善が必要です5。

3. プライバシーへの配慮

リスクベース認証のためにユーザーの行動データを収集・分析することになるため、プライバシーポリシーの透明性と適切なデータ管理が重要です1。

まとめ：より安全なインターネット環境のために

フィッシング詐欺や不正アクセスが増加する中、リスクベース認証は単純なID・パスワード認証の弱点を補完する重要なセキュリティ対策となっています。楽天証券の事例のように、金融機関を中心に導入が進んでいますが、今後はより多くのウェブサービスに展開されることが期待されます。

各サイトの特性に合わせてリスク評価のしきい値を適切に設定することで、セキュリティと利便性のバランスを取りながら、より安全なインターネット環境を構築することができるでしょう。ユーザーとしても、追加認証が求められた際には、それがセキュリティを高めるための重要な手段であることを理解し、積極的に活用することが大切です。