米国のセキュリティメディアが、OAuthで外部アプリに与えた権限（OAuthグラント）が手作業で確認しきれないほど増え、どのグラントにリスクがあり、どれを取り消すべきかを判断しにくくなっている問題と、継続的な管理方法を解説した。
事案の詳細
OAuthは、メールやクラウドストレージなどのアカウントに、パスワードを渡さず外部アプリへのアクセス権を与える仕組みだ。従業員が業務効率化のために連携ツールや拡張機能を追加するほど、アプリに付与された権限（OAuthグラント）が積み上がる。記事では、現在の課題を、どのグラントが存在し、実際のリスクを伴い、取り消すべきかを把握することだと説明している。
個々のOAuthグラントを詳しく確認する際は、アプリの情報を調べ、セキュリティ部門による審査の有無、ベンダーのセキュリティ・コンプライアンス体制、過去12か月以内の侵害公表の有無を確認する。また、許可を与えた利用者の役割を確認し、アプリに管理者権限が委任されていないかを調べる必要がある。さらに、要求されたスコープを同種の連携で一般的な範囲や自社のデータ共有方針と比較し、許可者に業務上の必要性を確認するとともに、MFAの利用状況も確認する。
記事は、攻撃者が利用者をだまして悪意あるアプリへの同意を得たり、正規アプリを装って過剰な権限を求めたりするリスクにも触れている。攻撃者は、パスワードを直接盗まなくても、許可された範囲でメールやファイルなどにアクセスできる可能性がある。OAuthグラントはパスワード変更だけでは無効化されない場合があるため、不審な連携を発見した際は、グラント自体を取り消す必要がある。
記事では、Nudge Securityの「OAuth Grant Risk Analyst」エージェントも紹介している。このエージェントは、新しく作成されたOAuthグラントを分析し、ブラウザー、受信トレイ、IDプロバイダー、接続済みアプリから得た情報と、24万件を超えるベンダーのセキュリティプロファイルを含むリスク情報を利用する。分析結果には、平易な言葉によるリスク評価、要約、判断理由、証拠の不足、次の3種類の判定が含まれる。
- Permit：リスクが低く、そのまま維持できる。
- Justify：追加調査が必要で、作成者に業務上の必要性を確認する。
- Revoke：業務上の価値よりリスクが大きく、削除すべきである。
日本への影響
日本の中小企業でも、Microsoft 365やGoogle Workspaceなどのクラウドサービスを利用し、複数のSaaSを連携して業務を行うケースが増えている。OAuthグラントは、便利な連携を追加するたびに増えるため、海外で報告された同意誘導型の手口も、同様の環境に適用される可能性がある。
特に、取引先とのメールやクラウド共有を多用する企業では、許可されたアプリ経由で情報へアクセスされると、情報漏えいや業務への影響につながるおそれがある。記事が示す具体的な被害件数や、日本企業を対象とした被害事例の詳細は現時点で不明である。
対策・今後の展望
- OAuthグラントを継続的に可視化：新しいグラントが発生した際に通知を受け、アプリ、許可者、付与されたスコープ、管理者権限の委任有無を確認する。
- アプリとベンダーを確認：セキュリティ・コンプライアンス体制、過去12か月以内の侵害公表、社内での審査状況を確認する。
- 付与権限を最小化：要求されたスコープが業務に必要な範囲か、自社のデータ共有方針に合っているかを確認する。
- 利用者と業務目的を確認：許可者に業務上の必要性を確認し、MFAの利用状況も確認する。
- 判定に応じて対応：低リスクのものは維持し、判断できないものは作成者への確認を行い、リスクが業務上の価値を上回るものは取り消す。
- 承認フローを統制：従業員が自由にアプリ連携を承認できる状態を見直し、管理者または指定担当者による承認を必要とする。
- 自動化を検討：Slack、Microsoft Teams、メール、ブラウザー拡張機能などを通じて許可者に正当性を確認し、リスクが高い、または未使用のグラントを自動で取り消せる仕組みを検討する。
- 無効化手順を整備：不審な兆候があった際は、パスワード変更やセッション無効化に加え、OAuthグラントの取り消しを実施する。退職者のアカウント停止時にも、関連するグラントを確認する。
CSRIからの現場アドバイス
【観点①：現場で何が起きているか】MDR支援の現場では、メールやストレージ連携の許可が棚卸しされないまま残り、退職者が導入したツールや試用アプリが温存されがちです。OAuthグラントは、作成後も継続して確認しなければ、業務上の必要性や付与権限を判断しにくくなります。記事が示す具体的な国内事例や、海外で流行した特定の攻撃キャンペーンの詳細は現時点で不明です。
【観点②：平易な解説】例えるなら、会社の鍵そのものは渡さず、「入ってよい部屋の通行証」を外部業者に発行するのがOAuthグラントです。通行証を発行した後は、誰にどの部屋への入場を認めたのかを確認し、不要になった通行証を取り消す必要があります。鍵（パスワード）を替えても通行証が残る場合があるため、OAuthグラント自体の確認が必要です。
【観点③：今週中にできること】まず、クラウド管理画面でOAuthグラントの一覧を出し、アプリ名、許可者、スコープ、管理者権限の有無、業務目的を確認してください。次に、用途不明、担当者不在、長期未使用、過剰な権限を持つ連携を確認対象として整理します。今後の新規連携は「申請→確認→承認」に統一し、不審時はパスワード変更だけでなくOAuthグラントの取り消しまで行う手順を共有してください。
参照: OAuth grants pile up faster than you can review them. Here’s how to keep up.