パスキー神話崩壊——Google Password Manager同期機能を狙う「Vaultjacking」攻撃
パスキー神話崩壊——Google Password Manager同期機能を狙う「Vaultjacking」攻撃
| 項目 | 内容 |
|---|---|
| ジャンル | セキュリティ |
| 日付 | 2026-06-09 |
| 元記事 | @IT / ITmedia |
要約
セキュリティ企業PhishUが、GoogleのパスワードマネージャーとGoogleアカウント同期機能を悪用する新手の攻撃手法「Vaultjacking」を公開した。従来「フィッシング耐性」として推奨されてきたパスキーだが、同期機能を経由してVault（パスワード保管庫）ごと攻撃者の管理下に置かれるリスクが指摘されている。ソーシャルエンジニアリングやQRコードフィッシングを組み合わせた現実的な攻撃シナリオが示されており、「パスキー＝絶対安全」という認識の見直しを迫る内容だ。対策としてはデバイスバインド型パスキー（クラウド同期しないもの）の優先利用と、複数デバイスへの無制限同期を避けるアカウント設計が推奨されている。