2026年8月27日、OpenAI・Anthropic・Google・Microsoft・AWS・CrowdStrike・Palo Alto Networksなど118社が連名で「A call for collective action on cyber defense」という公開書簡を出しました（TechCrunch、ITmedia AI+）。要旨は「AIの能力が上がるほどAIを使った攻撃も広がるので、守る側もリソース不足のところへの支援を急げ」というものです。
書簡そのものに具体的な攻撃手法の記載はありません。ただ、AIによる偵察やフィッシング文面の自動生成が容易になっているのは、セキュリティ業界で広く指摘されている傾向です。この記事は、その傾向を踏まえたうえで、専任の情シスがいない会社で「たまたま詳しいから」という理由でIT担当を兼務している人たち向けに、まず着手できる対策としてMFA（多要素認証）の設定を実際の手順込みで書きます。
想定読者は次の2者です。
- 専任の情シスはいないが、社内で一番パソコンに詳しいのでIT担当を兼務している人
- ITに詳しくないが、投資判断をする経営者
前半は経営者向けに「なぜ今MFAなのか」を、後半はIT担当者向けに実際の設定手順を書きます。
なぜ今、MFAなのか
AIによってフィッシングの単価が下がった
これまで、標的型フィッシングメールを1件作るには、送り先の会社名・担当者名・取引の内容を調べ、それらしい文面を人力で書く手間がかかりました。手間がかかる分、攻撃者は見返りの大きい大企業に労力を集中させがちでした。
生成AIが自然な日本語の文章を大量に、しかも個別化して作れるようになると、この「1件あたりの手間」が下がります。取引先の名前や過去のやり取りの言い回しを真似た、違和感の少ない発注メールを、これまでより短い時間で大量に作れる状況ができています。これはOpenAIやMicrosoftなど、AIを開発している当事者たちが今回の書簡で警告している変化そのものです。
手間が下がれば、これまで「割に合わない」と後回しにされていた中小企業にも、攻撃が届きやすくなります。狙われていないのではなく、狙う側のコストが下がっただけ、という理解が必要です。
MFAがなぜ効果的なのか
偽の発注メールに添付されたExcelファイルやリンクを開いてしまい、そこから認証情報（ID・パスワード）を盗まれるケースは古くからあります。パスワードだけの認証だと、盗まれた瞬間にログインを許してしまいます。
ここで「なぜMFAを入れると防げるのか」を、仕組みから説明します。認証は一般に、次の3種類の要素の組み合わせで成り立っています。
- 知識要素：本人だけが知っている情報（パスワード、暗証番号）
- 所持要素：本人だけが持っている物（スマホ、セキュリティキー）
- 生体要素：本人の身体的特徴（指紋、顔）
パスワードだけの認証は、知識要素1つだけに頼っています。知識要素は「知っていれば誰でも使える」情報なので、フィッシングメールで盗まれた瞬間、攻撃者は正規のユーザーと見分けがつかなくなります。パスワードという文字列そのものには、それを入力しているのが本人かどうかを確かめる仕組みがありません。
MFA（多要素認証）は、この知識要素に、もう1つ別の種類の要素を組み合わせます。多くの場合はスマホという所持要素です。攻撃者は、フィッシングでパスワード（知識要素）を盗むことはできても、被害者のスマホ（所持要素）を物理的に持っていません。認証の成立条件が「知っている」から「知っていて、かつ持っている」に変わることで、パスワードが漏れても、その1情報だけではログインが完了しなくなります。攻撃コストが下がっている今、費用対効果が最も高い対策の一つである理由はここにあります。
ただし、MFAも万能ではありません。偽のログインページで、パスワードと一緒にMFAの確認コードまでリアルタイムで中継してしまう攻撃（AiTM、Adversary-in-the-Middleと呼ばれる手口）は、SMSや通常の確認コード方式では防ぎきれない場合があります。この弱点を踏まえたうえで、どの方式のMFAを選ぶべきかは、後述の「SMS認証よりアプリ認証を優先する理由」で扱います。
何から手を付けるか
いきなり全部を業者に発注する必要はありません。次の3つは、社内で一番パソコンに詳しい人が、今日から着手できます。
- 経理・受発注に使っているメール・クラウドサービスのアカウントを洗い出す
- そのアカウントにMFAを設定する
- MFA設定後、実際にログインして動作を確認する
以降は、実際の設定手順です。
Microsoft 365（Entra ID）でMFAを必須化する
Microsoft 365を使っている場合、Azure AD（現在の名称はMicrosoft Entra ID）の管理画面から設定します。
推奨されるのは「条件付きアクセスポリシー」でMFAを要求する方法です。Microsoft公式の手順は次の通りです（Microsoft Learn）。
- Microsoft Entra 管理センターに、条件付きアクセス管理者権限でサインインする
- 「Entra ID」→「Conditional Access」→「Overview」から「+ 新しいポリシーの作成」を選択する
- ポリシー名を入力する（例：「全社MFA必須化」）
- 「割り当て」の「ユーザーまたはワークロード ID」で、MFAを必須にする対象ユーザー・グループを選択する（経理・受発注担当のグループを先に作っておくと絞り込みやすい）
- 「クラウド アプリまたはアクション」で「すべてのリソース」または対象アプリを選択する
- 「アクセス制御」の「許可」で「アクセス権の付与」を選び、「多要素認証が必要」にチェックする
- ポリシーの状態を「オン」にして「作成」する
小規模な組織で、細かい条件分けが不要な場合は「セキュリティの既定値群（Security Defaults）」を有効にするだけでも、全ユーザーにMFAを要求する状態を作れます。条件付きアクセスポリシーはMicrosoft Entra ID P1以上のライセンスが前提になるので、ライセンス状況を確認したうえでどちらを使うか選んでください。
設定後は、必ずテストユーザー（管理者以外のアカウント）でサインインし直し、実際にMFAの登録を求められることを確認します。管理者アカウントだけで確認して満足しないよう注意してください。管理者アカウントは別ルールが適用されている場合があります。
Google Workspaceで2段階認証を必須化する
Google Workspaceの場合、管理コンソールから2段階認証（2SV）を設定します（Google Workspace 管理ヘルプ）。
- 管理コンソールの「セキュリティ」→「認証」→「2段階認証」を開く
- 対象の組織部門またはグループを選択する
- 「ユーザーが2段階認証をオンにすることを許可」にチェックを入れる
- 「強制実行」で「オン」（即時）または「日付からオンにする」（猶予を持たせる）を選ぶ
新入社員向けには「新規ユーザー登録期間」を1日〜6ヶ月の範囲で設定できます。この期間中はパスワードのみでもログインでき、その間に本人が2段階認証を登録する猶予になります。全社一斉に「オン」で切り替えると、当日から使えなくなるアカウントが出て混乱しがちなので、経理・受発注担当から先に切り替え、その後全社へ広げる進め方が現実的です。
認証方法は「任意の方法」（SMS・認証アプリ・セキュリティキーなど、本人が選べる）と「セキュリティキーのみ」を選べます。セキュリティキーとパスキーは、フィッシング耐性が最も高い方式とされています（Google公式の説明による）。予算とデバイスの都合がつくなら、経理担当などの重要アカウントだけでもセキュリティキーの利用を検討する価値があります。
SMS認証よりアプリ認証を優先する理由
MFAの方式には主に次の3種類があります。
- SMSでの確認コード送信
- 認証アプリ（Microsoft Authenticator、Google Authenticatorなど）でのコード生成・プッシュ承認
- 物理セキュリティキー（YubiKeyなど）やパスキー
SMSは電話番号の乗っ取り（SIMスワップ）で突破される可能性があるため、認証アプリやセキュリティキーより弱いとされています。
さらに、SMSや通常の確認コード方式は、先述したAiTM（Adversary-in-the-Middle）攻撃に弱いという弱点があります。AiTMは、本物そっくりの偽ログインページを攻撃者のサーバーが中継する形で用意し、ユーザーが入力したパスワードと確認コードをその場で盗んで、正規サイトへの認証をリアルタイムで成立させてしまう手口です。この方式では、確認コードそのものを正しく入力しても、攻撃者がその一瞬で認証済みのセッション（ログイン状態を維持する情報）を横取りします（Microsoft Security Blog）。
これに対して、YubiKeyのような物理セキュリティキーやパスキー（FIDO2という規格に基づく認証方式）は、認証のたびに「今アクセスしようとしている本物のサイトのアドレス」を暗号的に確認する仕組みを持っているため、偽サイト経由では原理的に認証が成立しません。この性質を「フィッシング耐性がある」と呼びます。導入のしやすさで言えばSMSが一番簡単ですが、経理・受発注のような重要アカウントには、可能であれば認証アプリ以上、理想を言えばフィッシング耐性のあるセキュリティキーやパスキーを割り当ててください。
設定して終わりにしない
MFAを設定したら、それで終わりではありません。次の点を運用に組み込んでください。
- 新しく入社した社員のアカウントにも、初日からMFAを設定する運用にする
- 退職者のアカウントは、退職日当日中に無効化する（MFAが有効でも、アカウント自体が残っていれば意味がない）
- 「MFAの通知が急に来た。承認していないのに」という報告があったら、パスワードが漏れているサインとして扱い、即座にパスワードを変更する
最後の項目は特に重要です。MFAのプッシュ通知が身に覚えのないタイミングで届くのは、誰かがパスワードを使ってログインを試みている証拠です。「うっとうしいから」と反射的に承認してしまう（MFA疲労攻撃と呼ばれる手口です）と、MFAを入れた意味がなくなります。社内に「身に覚えのない通知は拒否して、すぐ報告する」というルールを周知してください。
まとめ
AIによってフィッシングメールの単価が下がり、これまで攻撃対象になりにくかった中小企業にも手が伸びやすくなっています。専任の情シスがいない会社でも、Microsoft 365やGoogle Workspaceの管理画面からMFAを設定するだけなら、社内で一番詳しい人が半日あれば着手できます。
経営者側に伝えるべきことは、高価な検知製品を導入する前に、まずログインの二重チェックだけでも入れてほしい、ということです。費用はほぼかからず、効果は大きい対策です。