パスキー神話崩壊 Google Password Managerの同期機能を狙う新攻撃手法：夏休みに振り返る2026年上半期ニュース（1/2 ページ）

パスワードに代わる認証手段として普及が進むパスキー。しかし、研究者が公表した新たな攻撃手法は、その安全性を支える“別の仕組み”に着目していた。暗号技術そのものを破らず、Google Password Manager利用者の認証情報に到達する手法とは。

[＠IT]

夏休みこそ「振り返り」

目前の課題解決、緊急の障害対応など、IT部門の日常は非常に多忙。そうした中で、「中長期的な視点を持とう」「攻めと守りを両立せよ」「ビジネスに貢献せよ」などと言われても、なかなか難しいものです。それならば、せめて夏休みの間だけでも上半期の振り返りをしてみてはいかがでしょうか。ここでは、この夏にもう一度読みたい「ヒットニュース」をピックアップ。働いている人もそうでない人も、冷たい飲み物片手に追えていなかった情報を見返してみてはいかがでしょうか。

初出：2026年6月8日　文中の記述は掲載当時のママ

　セキュリティ企業のPhishUは2026年5月20日（現地時間）、「Google Password Manager」（以下、GPM）の同期機能を悪用し、利用者のパスキーおよび保存済みパスワード群にアクセスできる攻撃手法「Vaultjacking」を発表した。

Google Password Manager同期機能を悪用　パスキーにアクセスする新手法

　PhishUによれば、この手法はWebAuthnそのものを破るものではない。攻撃対象はGPMの同期基盤であり、利用者のGPM PINを取得し、新たな端末として「Googleアカウント」のセキュリティドメインに参加し、同期済み認証情報群を取得する。

　GPMではパスキーやパスワードが複数端末間で同期される。同期データは、パスキーや保存済みパスワードを暗号化・復号する共通マスターキー「Security Domain Secret」（SDS）によって保護されており、新しい端末がセキュリティドメインに参加する際にはGoogleアカウントへの認証とGPM PINの入力が求められる。

　PhishUは、この6桁PINをAiTM（Adversary-in-the-Middle）型フィッシングによって取得できれば、後から攻撃者側の環境で同期済み認証情報群を復号できると説明している。

　Vaultjackingでは、Google用AiTMプロキシを使い認証情報やセッションCookieを取得する他、Googleの正規画面を模したPIN入力ダイアログを表示し、利用者にGPM PINの入力を促す。取得したPINはセッション情報と同時に保存される。

　フィッシング完了直後、バックグラウンドの自動化処理により、攻撃者管理のパスキーを被害者アカウントに登録する。このパスキーは正規の認証要素として扱われ、パスワード変更やCookie失効後も利用可能な状態が維持される。これにより、後日攻撃者インフラから新端末としてサインインする際の「再認証（Reauth）」を、ユーザーに気付かれることなく突破できるという。

　攻撃では、攻撃者側の端末を新規デバイスとしてセキュリティドメインに参加させる。Googleへの認証後、取得済みのGPM PINを入力するとSDSが解放され、同期済みの認証情報にアクセス可能になる。同期されたパスワードは「Google Chrome」（以下、Chrome）内に保存され、復号後に取得できる。パスキーについては秘密鍵そのものを抽出するのではなく、同期済み環境上でGoogleの仕組みを利用した署名処理を実行する方式を採用しているという。

　研究において、SDSが個別の認証情報ではなく同期領域全体を対象とする点を重視している。1回のPIN入力で、利用者が同期した全てのパスキーとパスワードにアクセスできる可能性があると指摘した。