スマートフォンを買い替えた、初期化した、整理中に認証アプリを削除してしまった。パスワードは有効でも、第二要素がなくなればメールへログインできません。Webメールの2FAロックアウトは、セキュリティ対策を真剣に行う組織で最も多いサポート依頼の一つであり、十分に予測できる事態です。
この記事では、アクセスを復旧する方法、自動ではなく慎重に処理しなければならない理由、半日がかりの対応を2分に短縮する小さな準備について説明します。
頻繁に起きる理由
二要素認証は、ある時点で1台の端末に一度だけ設定されます。そのとき利用者が考えているのはメールへ入ることであり、端末を失った場合のことではありません。
リカバリーコードは発行されますが、その場では余計な課題に見えるため、多くの場合は保管されません。スマートフォンはおよそ3年ごとに買い替えられます。認証アプリをバックアップしていない、または意識して移行しなかった場合、コードは新しい端末へ引き継がれません。Webメールの2FAロックアウトは、誰かが間違えた証拠ではなく、端末のライフサイクルから予測できる結果です。
実際に起きたときは、その点を思い出してください。ロックアウトされた本人は自分を責めがちですが、愚かなことをしたわけではありません。
アクセスを戻す2つの方法
方法は2つだけで、自分で実行できるのは1つ目です。
リカバリーコード。2FAの登録時に発行され、自分でアクセスを復旧するために使います。利用者はパスワードを入力し、認証アプリのコードの代わりにリカバリーコードを提示します。ログイン後、Webメール設定から古い第二要素を削除し、新しい端末を登録できます。管理者はどの段階にも関与しません。
当社への問い合わせ。リカバリーコードも失った場合は、当社側で第二要素を解除する必要があります。これはサポートで行う操作であり、管理画面から自分では実行できないよう意図的に設計されています。アカウント所有者がすべてのメールボックスから2FAをひそかに外せるなら、攻撃者にとって個々のメールボックス以上に価値の高い標的になるからです。
管理画面でできることと、できないことを明確にしておきましょう。一見すると、この問題にも対応できそうに見えます。メールボックスのセキュリティページでは、二要素認証が有効か、いつ確認されたかが表示され、メールボックスのパスワードも変更できます。しかし、第二要素は解除できません。パスワードの変更ではWebメールの2FAロックアウトを解消できません。ログインを妨げているのは、もともとパスワードではないからです。
どの方法で第二要素を解除した場合も、利用者は"後で"ではなく、すぐに再登録してください。2FAロックアウトを経験し、現在はパスワードだけで動いているメールボックスこそ、その状態で放置したくないものです。
相手が本人であることを確認する
誰かに代わってWebメールの2FAロックアウトをエスカレーションする前に、その依頼が本物か確認してください。省略されやすいものの、非常に重要な手順です。
攻撃者にとって、他人の第二要素を外すよう同僚から依頼してもらうことは、特に価値のある成果です。依頼はメールやチャットで届き、日常的な作業に見えます。事情に詳しそうに見えるため、そのまま担当者へ転送されます。
別経路で本人確認を行ってください。メールで依頼が届いたなら電話します。チャットなら、なりすましでは答えられない質問をするか、対面で確認します。確認には1分しかかかりません。最終操作をサポートが担当することは第2の防御層であり、最初の確認を省く理由にはなりません。
緊急で、謝りながら、少し慌てた様子の依頼には特に注意してください。本物のWebメール2FAロックアウトはそのように見えます。同時に、緊急性によって本人確認を省かせようとするソーシャルエンジニアリングも、まさに同じ状態を演出します。
簡単に復旧できるよう準備する
3つの小さな準備で、インシデントを日常的な作業に変えられます。
リカバリーコードの保管を登録手順に含める。後から行う任意の追加作業ではありません。同じ案内の中で、具体的な保管場所まで決めます。パスワードマネージャーが分かりやすい選択ですが、印刷して保管する方法も十分に合理的です。
適切な場合は2台目の端末も登録する。タブレットや予備のスマートフォンがあれば、1台を失っても完全なロックアウトではなく、単なる不便で済みます。
エスカレーション経路を文書化する。Webメールの2FAロックアウトが起きたとき、利用者は誰に伝えるべきか知っている必要があります。担当者も、管理画面ではなくサポートを通じて解除することを理解していなければなりません。発生後に初めて調べると、半日を無駄にします。
これらはロックアウトを防ぐための対策ではありません。復旧にかかる負担を小さくするためのものです。特にリカバリーコードだけが、サポートへの問い合わせを2分の自己解決に変えます。普段より強く保管を求めるだけの価値があります。
ロックアウトに見える2つの別問題
次の2つは利用者には同じように見えますが、必要な対応はまったく異なります。
認証アプリは動くのにコードが拒否される。多くの場合は端末時計のずれが原因です。RFC 6238に基づく時刻連動型コードは、端末の時計がほぼ正確であることを前提とします。スマートフォンの時刻が1分以上ずれると、生成されたコードは認証に失敗します。時刻の自動設定を有効にすれば直り、リセットは不要です。
別のアカウントを選んでいる。複数のアドレスを持つ人が、一方に2FAを登録しながら、もう一方へログインしようとすることがあります。認証アプリ内の別の項目を使っている場合もあります。何かをリセットする前に確認してください。
ログインする場所自体が間違っていることもあります。メールボックス利用者は、アカウント管理画面ではなくWebメールのログイン画面を使用します。一方で使えるパスワードを他方では使えないため、明らかな操作ミスではなく、原因不明の失敗に見えます。
2FAを必須にするべきか
ロックアウトが導入の代償なら、その負担に見合う効果があるか尋ねるのは妥当です。
ほかのサービスのパスワード再設定メールを受け取るメールボックス、つまりほぼすべてのメールボックスでは、答えは明確に「はい」です。メールアカウントは、ほかのあらゆるサービスの復旧経路であり、最も保護すべきアカウントです。リカバリーコードで解決できるWebメールの2FAロックアウトは、メールボックスを侵害されることに比べれば小さな代償です。
本当に扱いにくいのは、複数人が利用する共通の業務用アドレスです。解決策は第二要素を省くことではなく、共有ログイン自体をなくすことです。利用者を個別にメンバーとして追加する共有メールボックスを使い、それぞれが本人として認証するようにします。
同じ原則は一般的な登録にも当てはまります。認証情報は個人に属するべきです。そのため、招待を使えば利用者が自分で設定でき、管理者が知る必要もありません。詳しくは、パスワードを共有しないメールボックス設定で説明しています。
