JCBの「秘密の質問」から考える認証セキュリティとパスキー時代の課題

JCBのログイン画面で「好きな果物」を問う秘密の質問に遭遇した出来事を出発点に、秘密の質問が抱えるセキュリティ上の課題、Googleの大規模調査や過去の侵害事例、JCBの実装状況、パスキーやメールOTPとの比較を扱います。企業システムにおける認証方式の導入経緯についても、公開情報と推測を区別しながら整理します。

■ 秘密の質問の課題
- 好みの果物など回答候補が限られ、推測されやすい
- ランダム文字列をパスワードマネージャーで管理する対策
- 覚えやすさと推測されにくさの両立が難しい点

■ 調査・事例
- Googleの2015年調査で「好きな食べ物」の回答約19.7%がピザ
- 2008年米大統領選でSarah Palin氏のメールが秘密の質問経由で侵害された事例
- OWASPなどが秘密の質問の利用を推奨しない方針

■ JCBの実装
- MyJCBでは秘密の質問が主、メールのワンタイムパスワードが副
- 2016年導入でメールアドレスは任意
- 導入理由は問い合わせても回答がなく、複数の推測を提示

■ 認証方式の比較
- パスキーは端末内に保存され、人力入力が不要
- メールOTPの方が秘密の質問より安全とされる
- システム刷新コストや組織事情が背景にあるとの推測

■ 広告
- VPNサービスSurfsharkの紹介

クレジットカードやWebサービスの利用者、企業のシステム担当者にとって、秘密の質問の位置づけと認証方式の比較を整理する内容です。自身の登録情報や二要素認証の設定を見直す際の視点を得られます。企業の認証設計に関する事例提供も呼びかけています。