概要

信頼は現代のセキュリティアーキテクチャにおける最も高価な脆弱性です。近年、セキュリティ業界はネットワークに対するゼロトラストモデル（侵害を前提にしてすべてのリクエストを検証する）へと舵を切ってきました。しかし、リクエストの背後にいる“人”に対しては、暗黙の信頼に戻ってしまうことが多いです。Zoomの参加者が本当に本人か、HRポータルにアップロードされた書類が真実か、私たちは信じ込みがちです。その信頼が、かつてない規模で武器化されています。

Cloudflareの2026 Cloudflare Threat Reportでは、急速に加速する脅威ベクターとして「リモートITワーカー詐欺」の台頭を指摘しています。多くは北朝鮮を含む国家主体と関連しており、個人の悪意ある行為者だけではありません。これらはラップトップファーム（デバイスを大量に保管・遠隔操作する倉庫）を運営する組織的なオペレーションであり、盗まれたIDを使って企業に侵入し、知的財産（IP）を窃取し、不正に収益を流します。攻撃者は人工知能（AI）の進化とともに巧妙化しており、面接を通すために生成AIを使い、完璧な政府発行IDを作成する深層偽造（deepfake）ツールを利用します。従来のバックグラウンドチェックや標準的なアイデンティティプロバイダ（IdP）ではもはや不十分です。

悪意ある行為者は、ほとんどのゼロトラスト導入モデルがデバイスと認証情報を検証する一方で「人」を検証しないために生じるアイデンティティ保証のギャップを悪用しています。Cloudflareはこのギャップを埋めるため、ワークフォースの身元確認で先駆的なNametagと提携し、SASEプラットフォームであるCloudflare Oneにアイデンティティ検証済みオンボーディングと継続的なアイデンティティ保証を導入します。

あなたの最大の内部脅威は最初から仕組まれていた

内部リスクの問題は、企業が従業員を信頼したいと自然に思うことです。従来のDLPやUEBAツールで悪意ある行為が検出される頃には、既に境界内部に入られています。攻撃者は有効な認証情報、コーポレートラップトップ、機密リポジトリへのアクセスを持っています。「リモートITワーカー」スキームは採用からオンボーディングまでのギャップを突きます。

攻撃者は盗まれた、あるいは偽造したIDで雇用されます。ラップトップは通常、国内のラップトップファーム（遠隔ワーカーの雇用地とされる国にある）に設定された“ミュール”の住所へ発送され、ラックに設置され、KVMスイッチに接続されます。リモートのアクターはVPNやリモートデスクトップでログインし、正当な従業員のように見えます。有効な認証情報と企業発行のデバイスがあるため、標準的なZTNAポリシーはこのトラフィックを「安全」とみなしがちですが、実際には事業にとって重大なリスクです。

アイデンティティ検証済みゼロトラストの導入

Cloudflare Accessはすでにセキュリティポリシーの集約レイヤーとして機能し、デバイスポスチャ、位置情報、ユーザーグループメンバーシップなどの属性をチェックしてアプリケーションやインフラ、MCPサーバーへのアクセスを付与しています。Nametagとの提携により、重要な新しいレイヤー、すなわちワークフォースの身元確認を追加します。

これまでIT部門は、新規ユーザーのオンボーディングプロセスで信頼を前提とせざるを得ませんでした。ラップトップを新入社員が提示した住所に送付し、初期認証情報を個人メールに送るか、対面で来社させるかという選択肢しかなく、分散したワークフォースや契約社員がいる世界ではコストがかかり現実的ではありません。Nametagは前提としての信頼を検証されたアイデンティティに置き換え、デバイスを受け取り、設定し、保護されたリソースに接続する人が“実在する”、そして“正当な”人物であることをプロセス全体を通じて保証します。

この統合により、北朝鮮のITワーカーを含む悪意ある人物が内部リソースやデータへアクセスする前に検出・阻止できます。

動作の仕組み

NametagはOpenID Connect（OIDC）を使って統合されます。Cloudflare Access内でIdPとして設定するか、OktaやMicrosoft Entra IDのような主要IdPと並列して外部評価要素としてチェインすることができます。

以下は高セキュリティのオンボーディングシナリオの例ワークフローです：

1. トリガー: 新しいユーザーが初回オンボーディングポータル（Cloudflare Accessで保護）にアクセスを試みる。
2. チャレンジ: 単にユーザー名とパスワードを求める代わりに、CloudflareはOIDC経由で認証のためにユーザーをNametagへ誘導する。
3. 検証: ユーザーは新しい勤務用メールアドレスを入力し、スマートフォンでセルフィーを撮り、政府発行の写真付き身分証をスキャンする。
4. 立証（Attestation）: NametagのDeepfake Defense ™アイデンティティ検証エンジンは、高度な暗号技術、生体認証、AIなどを組み合わせて、ユーザーが実在する人物であり、かつ正しい人物であることを確認します。Nametagの技術は、深層偽造IDやセルフィーを用いた高度な注入攻撃や提示攻撃（印刷写真を提示するなど）を防ぎます。
5. 執行: チェックが成功すると、NametagはIDトークンをCloudflareに返しOIDCフローが完了します。CloudflareはユーザーのアイデンティティとAccessポリシーに基づいてアプリケーションへのアクセスを許可または拒否します。これらはすべて、ユーザーがメール、コードリポジトリ、その他の内部リソースにアクセスする前に行われます。

Nametagでのアイデンティティ検証は30秒未満で完了します。インタラクション後に生体情報は保存されません。

多層防御

この提携はCloudflareの既存の内部脅威保護スイートを補完します。現在、次のことが可能です：

• API駆動のDLPでデータ持ち出しをスキャンする。
• Remote Browser Isolation（RBI）で閲覧リスクを低減する。
• Shadow ITレポートやCloud Access Security Broker（CASB）でシャドーITを特定し、設定ミスを検出する。

Nametagは欠けていたリンク、すなわちアイデンティティ保証を提供します。どのアカウントがログインしているかを知るだけでなく、キーボードの背後にいるのが誰なのかを正確に知ることができます。AIが顔や声を偽造できる時代においては、暗号学的な身元証明だけがワークフォースを安全に信頼する方法です。

オンボーディングを越えて：継続的な検証

入口で悪意ある行為を阻止することは重要ですが、脅威環境は動的です。正当な認証情報が売買されることもあれば、正当な従業員が乗っ取られることもあります。現在のリスクに対処するため、Cloudflare Accessはユーザーリスクスコアを取り込み、セキュリティチームがコンテキストに応じたポリシーを構築できるようにしています。

• ユーザーのリスクスコアが低から高に急上昇した場合、そのユーザーのすべてのアプリケーションへのアクセスを取り消すことができます。
• 将来的には、アクティブなセッションの途中でユーザーリスクスコアなどのシグナルに基づいてステップアップ検証を強制できます。

“ビッグレッドボタン”を押して正当な理由で別の場所からアクセスしているユーザーを不必要に妨げる代わりに、NametagやCloudflareの独立したMFA（強力な認証方式）でユーザーに追加検証を求めることができます。もしユーザーがセッションハイジャッカーやボットであれば、これらのチェックを通過できません。

この機能はセルフサービスのITワークフローにも拡張されます。パスワードリセットやMFAデバイス登録はソーシャルエンジニアリングの主要なターゲットです（例：MGM Resortsのヘルプデスク攻撃）。これら特定のポータルにNametagをCloudflare Accessの背後に置くことで、サポート担当者がソーシャルエンジニアリングで攻撃者のためにパスワードをリセットしてしまう可能性を排除できます。

今すぐ未来に備える

セキュリティは仮定に頼ってはいけません。AIツールが高度な詐欺の敷居を下げる中、人的要素を暗号学的な確実性で検証するよう防御を進化させる必要があります。「リモートITワーカー」脅威は仮説ではなく、世界中の組織を標的とする現実のキャンペーンです。インフラ全体を全面的に見直す必要はありません。既存のIdPやアプリケーションの上にこれらの保護を重ねてすぐに導入できます。

• Cloudflare Oneは最大50ユーザーまで無料で、アイデンティティ検証済みオンボーディングフローをパイロットしたり、高リスクの内部ポータルを今すぐ保護できます。

はじめ方：

1. Cloudflare Oneにサインアップしてポリシーエンジンの構築を開始する。
2. 統合をデプロイする：NametagをCloudflare Accessに数分で接続する手順に従う。
3. リスクを理解する：Cloudflare Threat Report全文を読んで、内部脅威とAIによるなりすまし増加の裏付けデータを確認する。

侵害を待ってからワークフォースを検証するのではなく、何も信頼しない（画面上の顔さえも検証なしには信頼しない）SASEアーキテクチャの実装を始めてください。

Cloudflareの接続クラウドは、企業ネットワーク全体を保護し、顧客がインターネット規模のアプリケーションを効率的に構築するのを支援し、あらゆるウェブサイトやインターネットアプリケーションを高速化し、DDoS攻撃を阻止し、ハッカーを寄せ付けず、Zero Trustへの道のりを支援します。あらゆるデバイスから1.1.1.1にアクセスして、インターネットをより速く安全にする無料アプリを始めてください。

Cloudflareのミッションについて詳しくはstart hereを参照してください。新しいキャリアを検討している場合はopen positionsをチェックしてください。

参考・タグ

server-island-start SASE Cloudflare Zero Trust Cloudflare One Access Cloudflare Access Partners