企業が多要素認証（MFA）システムや条件付きアクセス・ポリシーによるログイン保護に多額の投資を行う一方で、それらすべての防御を無効化しかねない「バックドア」が存在し続けています。それは、テクニカルサポートデスク（Service Desks）を介したアクセス復旧プロセスです。問題は、アクセスを紛失した際の検証基準が、通常のログイン基準よりもはるかに脆弱であることが多く、それがソーシャルエンジニアリングの広大な入り口となっている点にあります。
知識ベースの検証モデルの崩壊
多くのテクニカルサポートデスクは、現在でも直属の上司の名前、部署、その他の個人情報といった知識ベースの検証（Knowledge-based verification）など、従来の本人確認手法に依存しています。このモデルは、今日のデジタル時代においてはもはや安全ではありません。攻撃者は、LinkedInや企業の公式サイト、あるいは流出したデータなどを通じて、これらの情報を容易に収集できるからです。
攻撃者はこれらの詳細を入手すると、従業員になりすましてサポート担当者を説得し、パスワードのリセットや新しい認証デバイスの登録を行わせます。これにより、アカウント自体を技術的にハッキングすることなく、MFA保護を回避することが可能になります。
AI：ソーシャルエンジニアリングの新たな武器
攻撃はもはや従来のフィッシングメールにとどまらず、生成AIのおかげでより複雑なレベルへと移行しています。データは、攻撃者の手法における危険な変化を示しています。
- ディープフェイク（Deepfakes）：攻撃者は音声合成技術を使用して従業員の声を模倣できるため、サポート担当者が本物の発信者と詐欺師を見分けることは非常に困難になっています。
- 攻撃成功率の向上：Verizonの2026年レポートによると、テキストメッセージや音声通話によるソーシャルエンジニアリングは、電子メールによるフィッシングと比較して40%高い成功率を記録しました。
- 範囲の拡大：Gartner社の調査によると、過去1年間にディープフェイク攻撃や自動化されたソーシャルエンジニアリングを受けた企業は62%に達しました。
実務上、何が変わるのか？
この脆弱性を克服するには、従業員のトレーニングだけでなく、アカウント復旧プロセスの構造を根本的に変える必要があります。「直感」や、担当者の声や話し方を見分ける能力に頼ることはもはや十分ではなく、検証プロセスを交渉の余地のない必須の技術的ステップへと移行させなければなりません。
安全なデジタル検証への移行には以下が含まれます：
- 知識ベースの質問を、電子メール、SMS、または外部認証アプリ（Duoなど）を介して送信されるコードなどのデジタル検証手段に置き換えること。
- 検証プロセスをテクニカルサポートデスクのワークフローに統合し、デジタル検証が成功しない限り、機密性の高いアクション（パスワードリセットなど）を実行できないようにすること。
- 「この人物は本当に従業員か？」という判断における人的要素への依存を減らし、デジタル証拠に基づいた技術的な判断へと移行させること。
アクセス復旧経路の保護を怠ることは、単なるセキュリティリスクにとどまらず、莫大な運用コストを招きます。パスワードリセット1回あたりのコストは約70ドルと推定されており、ハッキングや無秩序なサポートリクエストによって引き起こされる従業員の生産性低下やダウンタイムのコストは計り知れません。