パスキー神話崩壊 Google Password Managerの同期機能を狙う新攻撃手法：夏休みに振り返る2026年上半期ニュース（2/2 ページ）

[＠IT]

防御策と根本的な解決策とは？

　PhishUは、Googleが新規端末参加時に既存端末の承認を要求していない点にも着目している。Appleの「iCloud Keychain」は既存端末による承認を求める仕組みを採用しているが、GoogleはPIN方式を選択している。新規端末追加時にはメール通知が送信されるが、既存端末への承認要求やプッシュ通知は発生しないという。

　攻撃基盤の実装面において、Chromeのセキュリティドメイン参加処理にTPMが必要となるため、同社は仮想TPMを備えたWindows仮想環境を利用している。これによってChromeが要求するハードウェアベースの端末認証を満たし、同期処理を実行できるとしている。

　取得後の管理画面において、同期済みパスワード一覧と同期済みパスキー一覧が表示される。パスワードについてはURLや利用者名、復号済みパスワードを確認できる。パスキーについてはサイト情報や識別子などのメタデータが表示され、登録済み環境を利用した認証操作を実行できるという。

　検証において、攻撃者管理パスキーの追加時に「新しいパスキーが追加された」という電子メール、新規端末参加時に「新しいWindowsサインイン」を通知する電子メールが送信された。一方でSDSの解放や同期データ取得時には外部通知は確認されなかったとしている。

　防御策として同社は、高権限利用者へのハードウェア固定型パスキーの適用、セキュリティドメイン参加イベントの監視、新規端末参加時の既存端末承認機構の導入検討、SDS解放範囲の限定化などを推奨した。高リスク利用者ではGoogle同期機能に依存しない専用パスワード管理製品の利用も選択肢になるとの見解を示した。根本的な解決策として、Googleに対し「新規端末追加時の既存端末による承認義務化」や「SDS解放範囲の限定化」といった仕様変更を求めている。

　同社は、Vaultjackingは暗号技術の欠陥を突くものではなく、同期基盤の運用設計と認証手順に着目した攻撃シナリオだと位置付けている。その上で、パスキー導入のみでは十分ではなく、認証強度の管理や監視体制の整備が必要だと認識を示した。