「1人1IDの原則」の重要性は広く知られていますが、それでもなお多くの現場で共有アカウントが使われ続けています。本記事では、共有アカウントの利用がどのようにインシデントへとつながるのか、実際に広く報告されている事例やパターンを踏まえて解説し、そこから導かれる管理上の教訓を整理します。
1. 共有アカウントとは何か、なぜ今も使われ続けるのか
共有アカウントとは、複数の人間が同一のユーザーID・パスワードを使い回してシステムにアクセスする運用を指します。「adminアカウントをチーム全員で使う」「委託先の作業員全員に同じログイン情報を渡す」といった形で、多くの現場に根強く残っています。
共有アカウントが使われ続ける背景には、「個人ごとにアカウントを発行する手間を省きたい」「短期の委託作業員にいちいちアカウントを発行するのが煩雑」といった、現場の合理的な事情があります。しかし、この「合理性」が、重大なセキュリティリスクの温床になっています。
2. 事例：委託先の共有認証情報が招いた大規模侵害
共有・使い回された認証情報が発端となった侵害事例として、2013年に米国の大手小売企業が報告した大規模なクレジットカード情報流出事件はよく知られています。この事件では、店舗の空調（HVAC）管理を担当する外部委託業者に付与されていたネットワークアクセス用の認証情報が窃取され、その認証情報を足がかりに攻撃者が社内ネットワークへ侵入、最終的に店舗のPOS（決済端末）システムへと横展開し、数千万件規模のカード情報が流出したと報告されています。
この事例が示す教訓は、「本来の業務用途（空調管理）とは全く関係のないシステム（決済端末）にまで、委託先の認証情報経由で到達できてしまう」ネットワーク・権限設計の甘さです。委託先に付与する認証情報は、その業務に必要な範囲だけに厳格に限定し、ネットワークセグメンテーションによって侵入経路を遮断する設計が不可欠であることを、この事例は物語っています。
委託先管理は「性弱説」で設計する
委託先の担当者に悪意がなくとも、委託先自身のセキュリティ対策が自社より脆弱であれば、そこが攻撃の入口になり得ます。委託先を信頼するかどうかではなく、「委託先経由で侵害された場合に、被害をどこまで封じ込められるか」という前提で権限設計を行うことが重要です。
3. よくあるパターン：退職者による不正アクセス
共有アカウントに関するインシデントで頻繁に報告されるパターンの一つが、退職者が在職中に知っていた共有アカウントの認証情報を使い、退職後も社内システムへ不正アクセスするケースです。個人アカウントであれば退職時に無効化すれば済みますが、共有アカウントの場合、退職者1人のためにパスワードを変更すると、それを使っている他の在職者全員が影響を受けるため、変更が先送りにされがちです。この「変更のしづらさ」自体が、共有アカウントの構造的な欠陥です。
4. よくあるパターン：内部不正の発覚遅延
共有アカウントが使われている環境で不正操作（顧客データの持ち出し、意図的な設定変更等）が発生した場合、「誰が操作したのか」をログだけから特定することが極めて困難になります。個人アカウントであれば操作ログから即座に実行者を特定できますが、共有アカウントの場合、複数人の中から実行者を絞り込む調査に多大な時間を要し、発覚・対応が大幅に遅れるケースが報告されています。この調査の遅延そのものが、被害の拡大や証拠の散逸につながります。
共有アカウントの個人化とアクセス統制は、Net Peaceにご相談ください
KeyperはFIDO2認証と組み合わせた個人単位のID管理を実現し、委託先・退職者を含めたアクセス統制を支援します。共有アカウントからの脱却を段階的にサポートします。
5. 事例に共通する構造的な問題
- 実行者の特定不能：不正操作が発生しても、共有アカウントでは実行者を一意に特定できず、責任追及・再発防止策の検討が困難になる
- 認証情報変更の心理的ハードル：関係者全員に影響するため、退職・異動発生時の認証情報変更が先送りにされやすい
- 過剰な権限範囲：共有アカウントは「みんなが使う」という理由から、本来必要な範囲を超えた広い権限が付与されがちになる
- 委託先管理の甘さ：委託先に付与する認証情報の権限範囲・ネットワーク到達範囲が、十分に制限されていないケースが多い
6. 教訓から導く具体的な対策
- 1人1IDの原則を徹底する：共有アカウントを段階的に個人アカウントへ移行し、やむを得ず共有せざるを得ない場合はチェックイン/チェックアウト方式で排他制御する
- 委託先アカウントの権限を業務範囲に厳格に限定する：委託先の業務に必要な範囲だけにアクセスを限定し、ネットワークセグメンテーションで到達範囲を制限する
- 退職・契約終了時の即時無効化を仕組み化する：SCIM等の自動連携により、人の判断に依存しない確実な無効化プロセスを構築する
- アクセスログを個人単位で記録する：FIDO2認証など個人を特定できる認証方式を導入し、不正発生時に即座に実行者を特定できる体制を整える
よくある質問
Q1: 共有アカウントを完全になくすことは現実的ですか？
レガシーシステムの制約等により、完全な廃止が難しいケースもあります。その場合は、チェックイン/チェックアウト方式による排他制御や、共有アカウントの利用前後にVaultを介した個人認証を挟む運用によって、実質的に「誰が使ったか」を追跡できる状態に近づけることが現実的な対策です。
Q2: 委託先とのアカウント共有は避けられないのですが、どう対策すべきですか？
委託先ごとに個別のアカウントを発行し、業務に必要な最小限の権限・ネットワーク到達範囲に限定することが基本です。委託先の作業内容が明確な場合は、JITアクセスによって作業時間中だけ権限を付与する運用も有効です。
Q3: 共有アカウントのリスクは、SCS評価制度でも問われますか？
SCS評価制度をはじめとする第三者評価では、ID管理・アクセス制御の項目で「共有アカウントの排除・個人単位のアクセス管理」が確認されることが一般的です。共有アカウントが残存している場合、評価取得の妨げになる可能性があります。
7. まとめ
共有アカウントに起因するリスクと教訓を振り返ります。
- 委託先に付与された共有・使い回しの認証情報が、本来無関係なシステムへの侵入経路となった事例が実際に報告されている
- 退職者による不正アクセス、内部不正の発覚遅延は、共有アカウントに起因する典型的なリスクパターン
- 共有アカウントの構造的な問題は「実行者の特定不能」「変更の心理的ハードル」「過剰な権限範囲」に集約される
- 1人1IDの原則の徹底、委託先権限の限定、自動無効化の仕組み化が、具体的な対策の柱になる
Net PeaceのKeyperは、FIDO2認証による個人単位のアクセス統制を通じて、共有アカウントに起因するリスクの解消を支援します。