AI時代のパスワードセキュリティ – Malwarebytesが警告するPassGANの影響と効果的な対策

2025年5月9日11:14

AI（人工知能）ニュース, サイバーセキュリティニュース

Last Updated on 2025-05-09 11:14 by admin

サイバーセキュリティ企業Malwarebytesは2025年5月8日、AIの進化によってパスワード解読技術が向上し、従来のパスワード認証が脅威にさらされていることを警告する記事を公開した。

Cybernewsの調査によると、190億以上の流出パスワードから弱いパスワードの再利用が広範囲に蔓延していることが判明しました。長年のセキュリティ教育にもかかわらず、ユーザー行動はほとんど改善していません。

Home Security Heroesが開発したPassGANなどのAIツールは、流出データから学習して人間の行動に近いパスワードを生成できます。研究によれば、PassGANは51%のパスワードを1分以内に解読可能ですが、18文字以上の複雑なパスワードは依然として解読に非常に長い時間を要します。

テクノロジー企業はパスキー、生体認証、多要素認証（MFA）などのパスワードに代わる認証方法の開発を進めていますが、その採用はまだ初期段階です。

パスワードが盗まれると、アカウントへの不正アクセスやなりすまし、金銭的被害などのリスクがあります。

Malwarebytesは対策として、強力で固有のパスワード使用、パスワードマネージャーの活用、多要素認証の導入、パスキーの積極的採用を推奨しています。

References:
Passwords in the age of AI: We need to find alternatives

【編集部解説】

AIの進化とパスワードセキュリティの関係について、Malwarebytesの記事が指摘する問題は非常に現実的なものです。私たちが確認した最新のデータによれば、状況は注意が必要な段階に入っています。

Hive Systemsの最新のパスワード解析表によると、消費者向けGPUを使用したパスワード解読時間は年々短縮されています。小文字のみで構成された8文字のパスワードは、現在数週間で解読可能になりました。

しかし、すべてのパスワードが簡単に解読できるわけではありません。複雑さによって解読時間は大きく異なります。例えば、大文字・小文字・数字・記号を含む12文字以上のパスワードは、現在の技術でも解読に非常に長い時間を要します。

Home Security Heroesが開発したPassGANの特徴は、従来の辞書攻撃と異なり、人間の介入なしにパスワード推測を生成できる点にあります。研究によれば、PassGANは従来のHashcatツールよりも効率的にパスワードを推測できることが示されていますが、その効果は主に弱いパスワードに対して顕著です。

このような技術の進化は、企業のセキュリティにとって懸念材料となっています。LastPassの2022年の「パスワードの心理学」レポートによれば、従業員の62%が個人のパスワードまたはその変形を使い回しており、強力なパスワードを職場アカウント用に作成しているのはわずか33%に過ぎません。

パスワードレス認証への移行は、今後重要性を増すでしょう。FIDO2/WebAuthnスタンダードに基づくパスキーやバイオメトリクス認証、ハードウェアセキュリティキー、プッシュ通知などの技術が成熟してきています。

しかし、パスワードレス認証への完全移行には時間がかかります。その間、私たちができる最善の対策は、パスワードマネージャーの利用と多要素認証の導入です。パスワードマネージャーを使えば、サービスごとに固有の複雑なパスワードを簡単に管理できます。

さらに、オンライン会議ツールでのキーストロークの音を分析することで、特定の条件下ではAIがパスワードを高い精度で推測できるという研究結果も報告されています。これは、私たちのデジタルセキュリティが直面している新たな脅威の一例です。

今後数年間で、パスワードに依存したセキュリティモデルは徐々に補完されていくと予想されます。企業はパスワードレス認証への移行計画を検討すべきでしょう。個人ユーザーも、可能な限り強力なパスワードを使用し、パスワードマネージャーと多要素認証を組み合わせることで、リスクを軽減することができます。

AI時代のセキュリティは、単なる技術的な問題ではなく、私たちのデジタルアイデンティティ全体を守るための包括的なアプローチが必要となっています。

【用語解説】

PassGAN（Password Generative Adversarial Network）
Home Security Heroesが開発したパスワード解読のためのAI技術。実際のパスワード漏洩データから学習し、人間が作成しそうなパスワードを自動生成する。従来の辞書攻撃より効率的だが、その効果は主に弱いパスワードに対して顕著である。

GAN（Generative Adversarial Network）
生成モデルの一種で、生成器と識別器が互いに競い合いながら学習するAI技術。PassGANでは、この技術を使って本物のパスワードに似た新しいパスワードを生成する。

パスキー（Passkey）
パスワードに代わる新しい認証方式。指紋認証や顔認証などの生体認証、またはPINやパターン認証を使用してログインを行う。公開鍵暗号方式を採用しており、サーバー側には公開鍵のみが保存される。

多要素認証（MFA）
「知識情報」（パスワードなど）、「所持情報」（スマートフォンなど）、「生体情報」（指紋など）の中から2つ以上の認証要素を組み合わせて認証を行うセキュリティ手法。