無料会員登録
「いつもと違う場所からログインしようとしたら、追加の確認が出てきた」——これがリスクベース認証です。銀行・ECサイト・SNS・クラウドサービスなど、多くのWebサービスで採用されているセキュリティ技術ですが、その仕組みを正確に理解している人は少ないかもしれません。
リスクベース認証（Risk-Based Authentication：RBA）とは、ユーザーのログイン時にIPアドレス・デバイス・時間帯・行動パターンなどの情報を分析し、リスクの高さに応じて認証レベルを動的に変化させるセキュリティ技術です。
本記事では、リスクベース認証の仕組み・多要素認証（MFA）との違い・アクティブ認証/パッシブ認証との関係・金融/EC分野での活用例・ゼロトラストとの関係・導入時のポイント・被害事例・FAQまで徹底解説します。
書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！
セキュリティ対策で何をして良いかわからない
企業の情シス部門の方必見！
リスクベース認証とは？
リスクベース認証（Risk-Based Authentication：RBA）とは、ユーザーのログイン時にリスクを自動でスコアリングし、リスクレベルに応じて追加認証の要否を動的に判断するセキュリティ技術です。「コンテキストアウェア認証（文脈を考慮した認証）」や「適応型認証」と呼ばれることもあります。
通常の認証とリスクベース認証の違い
| 項目 | 通常の認証（ID＋パスワード） | リスクベース認証 |
|---|---|---|
| 認証の方法 | 常に同じ認証を行う | リスクに応じて認証レベルを動的に変える |
| なりすまし対策 | パスワードが漏洩すると突破される可能性がある | 普段と異なる環境からのアクセスで追加認証を要求できる |
| ユーザーの手間 | 毎回同じ操作 | 低リスク時は追加操作なし、高リスク時のみ追加確認 |
| 利便性 | シンプルだが、攻撃には弱い場合がある | 普段の利便性を維持しつつ、危険な場面だけ認証を強化できる |
リスクベース認証の仕組みとリスク判定フロー
リスクベース認証は、ユーザーのログインや重要操作の際に、複数の情報をもとに「このアクセスは本人らしいか」「不正アクセスの可能性があるか」を判定します。
リスク判定に使われる主なシグナル
| シグナルの種類 | 具体的な情報 | リスクが高い例 |
|---|---|---|
| IPアドレス | 接続元のIPアドレス・地域・国 | 普段と異なる国・地域からのアクセス、匿名化サービス経由のアクセス |
| デバイス情報 | デバイスID・OS・ブラウザ・端末情報 | 登録されていない新しいデバイスからのアクセス |
| 時間・日時 | ログイン時刻・曜日・タイムゾーン | 深夜や早朝など、普段ログインしない時間帯 |
| 行動パターン | アクセス頻度・操作の流れ・滞在時間 | 短時間で大量のページ遷移、ロボットのような操作 |
| ログイン試行 | 失敗回数・試行間隔 | 短時間で複数回のログイン失敗、複数アカウントへの連続試行 |
| 移動速度 | 前回ログイン地点からの移動距離・時間 | 東京でログイン後、短時間で海外からログインするなど物理的に不自然な移動 |
リスクスコアリングと認証レベル
収集したシグナルをもとにリスクスコアを計算し、スコアに応じて認証レベルを決定します。スコアの基準はサービスごとに異なりますが、イメージとしては以下のようになります。
| リスクレベル | 認証の例 | 状況の例 |
|---|---|---|
| 低リスク | 通常認証のみ | いつものデバイス・場所・時間帯でのログイン |
| 中リスク | 追加認証を要求 | 新しいデバイス、普段と異なる時間帯、いつもと違う地域からのログイン |
| 高リスク | 強い追加認証またはアクセスブロック | 海外から突然のアクセス、複数回の認証失敗後、高額取引や重要情報へのアクセス |
書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！
セキュリティ対策で何をして良いかわからない
企業の情シス部門の方必見！
リスクベース認証と多要素認証（MFA）・二段階認証の違い
リスクベース認証とMFA・二段階認証は混同されやすいですが、概念が異なります。
| 項目 | リスクベース認証 | 多要素認証（MFA） | 二段階認証（2FA） |
|---|---|---|---|
| 追加認証のタイミング | リスクが高いと判断した場合のみ | 原則として追加要素を使う | 二段階目の確認を行う |
| ユーザーの負担 | 低リスク時は追加操作なし | 追加操作が必要になる | 追加操作が必要になる |
| セキュリティ強度 | リスク判定の精度に依存 | 高い | 方式によって異なる |
| 仕組みの複雑さ | 高い（リスク分析が必要） | 中程度 | 比較的シンプル |
リスクベース認証とMFAは対立するものではありません。組み合わせることで、利便性と安全性を両立できます。たとえば「通常時はパスワードのみ」「いつもと違う場所・端末からのアクセス時だけ認証アプリやSMSコードを要求する」という使い方ができます。
アクティブ認証とパッシブ認証の違い
リスクベース認証を理解するうえで重要なのが、アクティブ認証とパッシブ認証の違いです。
| 項目 | アクティブ認証 | パッシブ認証 |
|---|---|---|
| ユーザーの操作 | 必要 | 不要、または最小限 |
| 例 | ワンタイムパスワード・秘密の質問・USBセキュリティキー | IPアドレス・デバイス・行動パターンの自動分析 |
| 利便性 | 追加操作が必要 | 普段は意識せず利用できる |
| セキュリティ強度 | 方式によって高い | リスク判定の精度に依存する |
| 適している用途 | 金融・医療・管理者操作など高セキュリティが必要な場面 | EC・SNS・一般的なWebサービスなど、利便性も重視する場面 |
リスクベース認証は、IPアドレスやデバイス情報などを自動的に確認するため、パッシブ認証の要素を含みます。ただし、高リスクと判断された場合には、SMSコードや認証アプリなどのアクティブ認証を追加で要求します。
リスクベース認証の主な追加認証の種類
秘密の質問
「母親の旧姓」「出身小学校」「初めて飼ったペットの名前」など、本人しか知らない情報を使った追加認証です。導入が簡単な反面、SNSなどから答えを推測されるリスクや、ユーザー自身が回答を忘れるリスクがあります。
SMSワンタイムパスワード（OTP）
登録した電話番号にSMSで一時的なコードを送り、入力させる方式です。多くのサービスで使われていますが、SIMスワッピング攻撃やSMSの盗み見には注意が必要です。
認証アプリ（TOTP）
Google Authenticator・Microsoft Authenticatorなどのアプリが生成する時刻ベースのワンタイムパスワードを使います。SMSよりも安全性が高い方式として利用されることが多いです。
メールOTP
登録メールアドレスにワンタイムパスワードを送る方式です。メールアカウント自体が乗っ取られていると突破されるリスクがあります。
プッシュ通知認証
スマートフォンアプリにプッシュ通知が届き、「承認」または「拒否」をタップして認証する方式です。利便性が高い一方で、繰り返し通知を送って承認を誘導する攻撃には注意が必要です。
リスクベース認証の活用例
ネットバンキング・金融機関
金融機関では、リスクベース認証が積極的に使われています。普段と異なるデバイスからのアクセス、海外IPアドレスからのログイン、深夜の高額送金、短時間での複数回の送金などをリスクシグナルとして検知し、追加認証や取引保留につなげることがあります。
ECサイト・オンラインショッピング
ECサイトでは、不正購入やポイント不正利用の防止に活用されます。初めて使うデバイスからの高額購入、普段と異なる配送先への注文、短時間での複数回購入などを検知し、追加認証を求めることがあります。
企業のリモートアクセス・VPN
テレワークの普及により、企業の社内システムへのリモートアクセスでもリスクベース認証が使われています。社外からの接続、管理者権限でのアクセス、普段使わないシステムへのアクセスなどで、追加認証やアクセス制限を行うことがあります。
SNS・メールサービス
SNSやメールサービスでは、新しいデバイスからのログイン、海外からのアクセス、短時間での大量操作などを検知し、本人確認の追加認証を要求する場合があります。
リスクベース認証とゼロトラストセキュリティ
ゼロトラストセキュリティは、「社内・社外を問わず、すべてのアクセスを信頼せず、常に検証する」という考え方です。リスクベース認証は、このゼロトラストを実装するための重要な要素の一つです。
- 常に検証する：アクセス元、端末、時間帯、行動パターンなどを評価し、本人らしいアクセスか確認する
- リスクに応じて制御する：低リスクなら通常通り、高リスクなら追加認証やアクセス制限を行う
- 最小権限と組み合わせる：高リスクと判断されたセッションでは、アクセスできる情報や操作を制限する
- 継続的に監視する：ログイン時だけでなく、セッション中の行動も監視して異常を検知する
リスクベース認証のメリット
なりすましを防ぎやすい
パスワードが漏洩していても、攻撃者が普段と異なる環境からアクセスする場合は追加認証が発動します。攻撃者が正規ユーザーのパスワードだけでなく、デバイス・IPアドレス・行動パターンまで完全に再現することは困難です。
利便性を損なわずにセキュリティを強化できる
低リスクと判断された通常のログインでは追加認証が発動しないため、ユーザーが毎回余分な操作をする必要がありません。利便性とセキュリティの両立ができる点が大きなメリットです。
多様な脅威に対応しやすい
パスワードリスト攻撃・ブルートフォース攻撃・フィッシング後のなりすまし・不正送金・ポイント不正利用など、多様な攻撃に対してリスクシグナルをもとに対応できます。
リスクベース認証の注意点・デメリット
追加認証を忘れるとログインできなくなることがある
秘密の質問やSMS認証、認証アプリを追加認証として設定している場合、回答を忘れたり、スマートフォンを紛失したりするとログインできなくなることがあります。アカウント回復用のメールアドレスや電話番号を事前に登録しておくことが重要です。
VPNや旅行で追加認証が増えることがある
VPNを使用した際、海外旅行中、新しい端末を購入した際など、正規ユーザーであっても「普段と異なる環境」と判断され、追加認証が要求されることがあります。これは不便に感じる場合もありますが、セキュリティ上は正常な動作です。
導入・運用コストがかかる
リスク判定には、ログイン履歴、デバイス情報、IPアドレス、行動パターンなどのデータ収集・保存・分析が必要です。精度の高い仕組みを構築するには、認証基盤やログ分析基盤との連携が必要になります。
判定精度に限界がある
攻撃者が正規ユーザーの端末を乗っ取った場合や、同じネットワークからアクセスした場合、リスクが低いと判定される可能性があります。リスクベース認証は万能ではなく、MFA、端末管理、パスワード管理、ログ監視などと組み合わせて使うことが重要です。
リスクベース認証に関連する被害・注意事例2選
事例①：パスワードリスト攻撃による不正ログイン
パスワードリスト攻撃とは、他のサービスから流出したID・パスワードの組み合わせを使い、別のWebサービスへログインを試みる攻撃です。サイバーセキュリティ.comの記事でも、ユーザーが複数のサービスで同じID・パスワードを使い回している場合、不正ログインにつながる危険があると説明されています。
リスクベース認証を導入している場合、正しいID・パスワードが入力されても、普段と異なるIPアドレス、新しいデバイス、短時間での大量ログイン試行などを高リスクとして判定し、追加認証やアクセスブロックを行えます。単純なID・パスワード認証だけでは防ぎにくい不正ログイン対策として、リスクベース認証は有効です。
事例②：フィッシングによる認証情報窃取と不正利用
フィッシング攻撃では、正規サービスを装った偽サイトにユーザーを誘導し、ID・パスワード・認証コードなどを入力させます。サイバーセキュリティ.comの記事でも、フィッシングはメールやSMSを使って偽サイトへ誘導し、認証情報や個人情報を盗み取る代表的な攻撃手法として解説されています。
リスクベース認証を導入していれば、攻撃者が盗んだID・パスワードでログインを試みた際に、普段と異なる端末や地域からのアクセスとして検知できる可能性があります。さらに、送金・高額購入・登録情報変更など重要操作のタイミングで追加認証を要求すれば、フィッシング後の不正利用を抑えやすくなります。
よくある質問（FAQ）
Q. リスクベース認証と二段階認証はどちらが安全ですか？
セキュリティ強度だけを見ると、常に追加認証を行う二段階認証や多要素認証（MFA）のほうが強い場合があります。一方で、リスクベース認証は低リスク時の手間を減らしつつ、高リスク時だけ認証を強化できる点がメリットです。実務上は、リスクベース認証とMFAを組み合わせる方法が有効です。
Q. リスクベース認証はどうやって「普段の行動」を学習しますか？
ユーザーのログイン履歴、IPアドレス、デバイス、時間帯、操作パターンなどを蓄積し、統計分析や機械学習によって通常の行動パターンを作ります。新規ユーザーや初回ログイン時は学習データが少ないため、追加認証が発動しやすい場合があります。
Q. VPNを使うとリスクベース認証に引っかかりやすくなりますか？
はい。VPNを使うとIPアドレスや接続地域が普段と変わるため、リスクが高いと判断され、追加認証が要求されることがあります。これは誤検知に見える場合もありますが、セキュリティ上は正常な動作です。頻繁に発動する場合は、信頼できる端末として登録できるか、サービス側の設定を確認してください。
Q. 個人向けと企業向けのリスクベース認証は違いますか？
基本的な考え方は同じですが、企業向けではより多くのシグナルを使います。たとえば、デバイス証明書、ネットワークの種類、アクセスするリソース、ユーザーの役職、端末のセキュリティ状態、EDRやSIEMのログなどを組み合わせて判断します。個人向けサービスでは、主にIPアドレス・デバイス・時間帯・ログイン履歴を使うシンプルな実装が多いです。
Q. リスクベース認証を導入するにはどうすればいいですか？
小規模なWebサービスでは、クラウド認証サービスやIDaaSの機能を活用する方法があります。企業では、Microsoft Entra ID、Okta、Auth0、Amazon Cognitoなどの認証基盤で、条件付きアクセスやリスクベースの追加認証を設定できます。導入時は、保護したい情報、ユーザー数、既存の認証方式、MFAの有無、ログ収集体制を整理してから検討するとよいでしょう。
まとめ
リスクベース認証（RBA）とは、ユーザーのログイン時にIPアドレス・デバイス・時間帯・行動パターンなどのシグナルを分析し、リスクスコアに応じて追加認証の要否を動的に判断するセキュリティ技術です。低リスクと判断された場合は通常の認証のみで済み、高リスクと判断された場合のみSMS OTP・認証アプリ・秘密の質問などの追加認証が発動します。
多要素認証（MFA）や二段階認証が追加認証を行う仕組みであるのに対し、リスクベース認証は「いつ追加認証を求めるか」を判断する仕組みです。両者を組み合わせることで、利便性とセキュリティを高いレベルで両立できます。
ただし、リスクベース認証は万能ではありません。正規ユーザーの端末が乗っ取られた場合や、攻撃者が同じ環境からアクセスした場合は、検知が難しいケースもあります。リスクベース認証は、MFA、パスワード管理、デバイス管理、ログ監視、ゼロトラストの考え方と組み合わせて活用することが重要です。
書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！
セキュリティ対策で何をして良いかわからない
企業の情シス部門の方必見！
![中小企業の情報瀬キィリティ相談窓口[30分無料]](/wp-content/uploads/2023/07/bnr_footer04.png)
通常の認証（ID＋パスワード）は、空港の入場ゲートで搭乗券を見せるようなものです。リスクベース認証は、その搭乗券に加えて「いつもと違う国から来た」「荷物が多い」「過去の行動と違う」といった状況を自動で判断し、必要な人だけ追加チェックを行う仕組みです。問題なさそうな人はスムーズに通過でき、怪しい状況があれば追加確認が入ります。