パスワードが漏れても、不正ログインを許さない。
アプリップリキー は、スマホのワンタイムパスワードで Windowsログインそのもの を二段階認証化し、不正アクセスとランサムウェアの入り口を塞ぎます。
指紋認証や顔認証は便利ですが、ローカルアカウントの単体PCに後付けしたものは 「パスワードの代わりに生体情報で本人確認する」仕組み です。認証の内部ロジックは1つのまま。つまり、その1つが突破されれば終わりで、要素は1段階のままです。
これは当社の見解ではなく、基準がそう定めています。アメリカの NIST（米国立標準技術研究所）の基準 SP 800-63B では、顔や指紋そのものを認証の「要素」として数えません。生体情報は「持っているもの（物理的な認証器）」と組み合わせたときにのみ、多要素認証の一部として使えるとされています。
Microsoft 自身も、ローカルアカウントで使う Windows Hello は「非対称鍵（公開鍵・秘密鍵）に裏打ちされていない」と明記しています。2要素の根拠になる「端末のなかの鍵」がないため、要素は1つです。
ただし、Microsoft Entra ID や Active Directory と連携させる Windows Hello for Business は別です。こちらは端末のなかの鍵（持っているもの）と PIN・生体の組み合わせで、Microsoft が2要素認証と説明しています。IT担当者がいない会社で、そこまで組んでいることはまずありません。
6カ月ごとなどの定期的なパスワード変更は、多くの企業や医療機関で慣習化しています。しかし、米国国立標準技術研究所（NIST）や Microsoft は、これを公式に推奨していません。強制的なパスワード変更は、かえって社員による簡単なパスワードの使い回しを招き、セキュリティリスクをむしろ高めてしまうためです。
サイバー攻撃と聞くと、壁を破って入ってくる姿を思い浮かべます。実際はそうではありません。攻撃者は、どこかで入手した ID とパスワードを使い、本人として堂々とログインします。
ここが、いちばん厄介なところです。本人の ID とパスワードで入ってくるので、システムから見れば「正しいログイン」にしか見えません。不正アクセスという言葉から想像する「なりすまし」ですらなく、記録のうえでは本人のログインそのものです。ふだんと違う場所からのアクセスを検知する仕組みはありますが、入り口そのものが正しい鍵で開けられている以上、見抜くのは簡単ではありません。攻撃者は、まさにここを突いて企業の経営を脅かしています。
だからこそ、二段階認証（2要素認証・2FA・多要素認証／MFA）が効きます。ID とパスワードが漏れたあとでも、もうひとつの確認を通れるのは本人だけだからです。
Microsoft が Azure Active Directory の実データを分析した研究では、ID とパスワードがすでに漏えいしていたケースでも、多要素認証によって侵害のリスクが 98.56% 下がったと報告されています（全体では 99.22% の低下）。
出典: Microsoft Research「How effective is multifactor authentication at deterring cyberattacks?」（2023年・arXiv:2305.00945）
スマートフォンのワンタッチは、便利なうえに、企業の経営を守ります。
VPNやRDPの脆弱性、あるいは漏洩・使い回されたパスワード。攻撃者はまず 正規のIDとパスワードでログイン し、そこから内部へ侵入・拡散し、最終的にファイルを暗号化して身代金を要求します。
言い換えれば、ログインの入り口を二段階認証で固めるだけで、被害の連鎖の多くを最初の一歩で止められるということです。アプリップリキー は、その入り口をスマートフォンのワンタッチにすることで、パスワードを打つ手間からも、覚える負担からもユーザーを解放します。
多くのインシデントは、たった一つの「認証の甘さ」から始まります。ログイン認証を二段階に強化することは、費用対効果の高い、最も基本的で確実な対策のひとつです。
セキュリティ対策のサービスや機器は年々増え続けています。実際、多くのご担当者が「結局どれを選べばいいのか決められない」という声を口にされます。
アプリップリキー は、Windowsログインとスマートフォンアプリのワンタイムパスワード（TOTP標準）を組み合わせた二段階認証ソリューションです。サーバーの新設や機器の購入は不要。今お使いの環境に、最短5分で導入できます。
アプリ単位ではなく、最も狙われる「PCへのOSログイン」そのものを二段階認証化します。
専用アプリのほか、Google Authenticator 等の標準的な認証アプリにも対応します。
専任のIT担当者がいなくても、ウィザードに沿って設定するだけで運用を始められます。
それぞれの対策には守備範囲があります。「ログイン認証の強化」は、多くの企業で見落とされている領域です。
| 攻撃シナリオ | UTM (境界防御) | アプリップリキー (ログイン認証) | エンドポイント (端末防御) |
|---|---|---|---|
| 外部からの不正通信・侵入の遮断 | ✓ | ✗ | ✗ |
| 認証情報の窃取・悪用 | ✗ | ✓ | ✗ |
| なりすましログインの遮断 | ✗ | ✓ | ✗ |
| マルウェアの実行阻止 | ✗ | ✗ | ✓ |
アプリップリキー は既存の対策を置き換えるものではなく、見落とされがちな「入り口」を補い、多層防御を完成させるピースです。
アプリップリキー はOSレベルの認証のため、ルーター機器の2要素認証には対応しておりません。
近年のサイバー攻撃では、まずルーター・VPN機器のパスワードを盗み（解析し）、次にPC・サーバーのパスワードを解析して侵入するという手法が流行しています。「Fortinet製機器の認証情報露出に伴うセキュリティ対策の徹底について」といった注意喚起が示すとおり、ネットワーク機器の認証情報が漏れる事態は現実に起きています。
つまり、Fortinet社などネットワーク機器メーカーが受け持つ領域と、アプリップリキー が受け持つ領域は異なります。境界を守る対策とログイン認証を守る対策、その両方を備えることで多層防御が完成します。
PC用ソフトを入手します。
ダブルクリックで導入します。
ライセンスキーを登録します。
スマホアプリとペアリングして完了。
個々のパソコンのログインを二段階認証化。1台から段階的に導入できます。
オンプレミス・クラウド上のサーバーに対応。より広い範囲を保護します。
ライセンスはユーザー数ではなく「デバイス数」で計算。そのPCを使う人が増えても追加費用はかからず、コストを抑えられます。
サーバー版の アプリップリキー をサーバーにインストールすると、そのサーバーへのログインアクセスログ・脅威発見ログを記録・確認できます。誰がいつログインしたか、不審なログイン試行がなかったかを、管理者が把握できるようになります。
サーバー版には、このログを「そのサーバーにログインする全ユーザーに公開するか、管理者だけに限定するか」を選べるON/OFF設定があります。
| スタンドアロン版 | サーバー版 | |
|---|---|---|
| ログイン アクセスログ・脅威発見ログの記録対象 | そのPC自身へのログインのみ | インストールしたサーバーへのログインのみ |
| ログの公開範囲設定 | — | ON/OFFを選択可能 |
| ONにした場合 | — | そのサーバーにログインする全ユーザーが、そのサーバーへのログインアクセスログ・脅威発見ログを閲覧できる |
| OFFにした場合 | — | 管理者のみが、そのサーバーへのログインアクセスログ・脅威発見ログを閲覧できる |
当社は下記の認証・パートナーシップのもと、製品を提供しています。
「複雑なパスワードから解放された」「取引先への説明ができるようになった」など、現場のリアルな声をご紹介しています。
導入事例・お客様の声を見る →