Microsoft Entra External ID password protection で注目すべき更新は、カスタム禁止パスワードリストが Microsoft Entra External ID で利用できるようになったことです。これにより、ECサイト、会員アプリ、金融・保険・旅行サービスなどのコンシューマー向けアカウントで、ブランド名やサービス名を使った推測されやすいパスワードを作成・リセット時点でブロックできます。アカウント乗っ取り対策は MFA や WAF だけでなく、「そもそも攻撃に使われやすいパスワードを登録させない」設計が重要です。
2026年4月16日時点で確認できる Microsoft Entra の 2026年3月更新では、Microsoft Entra External ID の新機能として「Custom banned password lists supported in Microsoft Entra External ID」が General Availability として掲載されています。Microsoft の説明では、既存のグローバル禁止パスワードリストに加えて、EEID 管理者がパスワード作成・リセット時にブロックする特定文字列を追加できるようになりました。(Microsoft Learn)
Microsoft Entra External ID password protection の最新動向
Microsoft Entra External ID password protection の今回のポイントは、単なる「パスワードを複雑にする機能」ではありません。重要なのは、攻撃者が実際に試しやすい単語を、組織側が先回りして禁止できることです。
Microsoft Entra Password Protection には、Microsoft のセキュリティテレメトリと分析に基づくグローバル禁止パスワードリストがあり、弱いパスワードやそのバリエーションを検出・ブロックします。さらにカスタム禁止パスワードリストを使うと、ブランド名、製品名、拠点名、社内・サービス固有の略語などを追加し、グローバルリストと組み合わせて評価できます。(Microsoft Learn)
これが Microsoft Entra External ID で重要になる理由は、外部向け ID 基盤が、社内アカウントとは異なる攻撃面を持つためです。Microsoft は External ID の外部テナントについて、credential stuffing、自動ボット登録、account takeover attempts、高トラフィック攻撃などの CIAM 特有の攻撃パターンの標的になりやすいと説明しています。(Microsoft Learn)
つまり、External ID のパスワード保護は「従業員の認証強化」ではなく、顧客アカウントの不正ログイン、ポイント不正利用、購入履歴・個人情報の閲覧、決済前後の不正操作を減らすための入口対策として考えるべきです。
なぜカスタム禁止パスワードがアカウント乗っ取り防御に効くのか
コンシューマー向けサービスでは、ユーザーが覚えやすいパスワードを選びがちです。特に、サービス名やブランド名に年号、記号、地域名を足しただけのパスワードはよく使われます。
たとえば架空の旅行サービス「Contoso Travel」であれば、ユーザーは次のようなパスワードを選びやすくなります。
Contoso2026!Travel1234ContosoTokyoContosoTrip!Mileage2026
攻撃者にとっても、こうしたパターンは予測しやすい候補です。パスワードスプレー攻撃では、少数の弱いパスワードを大量のアカウントに対して試すため、サービス名やキャンペーン名を含むパスワードは狙われやすくなります。Microsoft も、パスワードスプレー攻撃は各アカウントに対して少数の弱いパスワードを試し、検出しきい値を避けながら侵害可能なアカウントを探す手法だと説明しています。(Microsoft Learn)
カスタム禁止パスワードリストの価値は、ここにあります。グローバルリストが一般的な弱いパスワードを防ぐ一方で、カスタムリストはそのサービスだからこそ危険な単語を防げます。
| 防御対象 | グローバル禁止パスワードリスト | カスタム禁止パスワードリスト |
|---|---|---|
password や 123456 など一般的な弱い語 | 強い | 対象外でもよい |
| 自社ブランド名 | 一部は対象外になり得る | 強い |
| 商品名・アプリ名 | 一部は対象外になり得る | 強い |
| キャンペーン名・会員ランク名 | 対象外になりやすい | 強い |
| 地域・店舗・施設名 | 対象外になりやすい | 強い |
| 大量の漏えい済みパスワード全体 | 専用用途ではない | 不向き |
ここで大切なのは、カスタム禁止パスワードリストを「漏えいパスワード辞書の代わり」にしないことです。Microsoft のドキュメントでは、カスタム禁止パスワードリストは最大 1,000 語であり、極端に大きなパスワードリストをブロックする用途ではないと説明されています。(Microsoft Learn)
従来の複雑性ルールより実務的な理由
パスワードポリシーというと、「大文字・小文字・数字・記号を必須にする」という発想になりがちです。しかし、コンシューマー向けサービスでは、複雑性ルールを強めるほどユーザー体験が悪化し、結果として次のような問題が起きます。
- ユーザーが覚えにくいパスワードを避け、単純な置換に逃げる
@をa、0をoの代わりに使うだけの弱いパターンが増える- パスワードリセットが増え、サポートコストが上がる
- 離脱率が上がり、サインアップ完了率が下がる
カスタム禁止パスワードは、すべてのユーザーに強い摩擦をかけるのではなく、危険な候補だけを狙って拒否する点で実務的です。
NIST SP 800-63B でも、パスワードを設定・変更する際には、一般的、予測可能、または侵害済みの値を含むリストと照合する考え方が示されています。また、単純な文字種ルールをむやみに課すのではなく、危険なパスワードをブロックする方向性が重視されています。(NIST Pages)
Microsoft Entra のパスワード評価でも、単純な完全一致だけではなく、正規化や文字置換、あいまい一致が使われます。たとえば @ を a、0 を o として扱うような一般的な置換が考慮されるため、禁止語のバリエーションも一定範囲でブロックできます。(Microsoft Learn)
カスタム禁止パスワードに入れるべき単語
カスタム禁止パスワードリストに入れるべきなのは、「ユーザーが使いやすく、攻撃者も推測しやすい、自社・サービス固有の語」です。何でも入れればよいわけではありません。
優先して入れるべき単語
| 種類 | 例 | 理由 |
|---|---|---|
| ブランド名 | contoso | ユーザーが最も使いやすい |
| サービス名・アプリ名 | contosotravel、contosopay | ログイン画面から攻撃者にも見える |
| 商品・会員プログラム名 | mileage、premiumclub | ロイヤルティサービスで使われやすい |
| ドメイン・略称 | ctpay、contosoid | 社内外で通称として使われる |
| 地域・拠点名 | tokyo、london | グローバル展開サービスで混入しやすい |
| キャンペーン名 | springfair、goldweek | 一時的にユーザーの記憶に残りやすい |
| ローカル言語表記 | sakura、nihon、tokyo | 日本市場や多地域展開で重要 |
グローバル読者向けに設計する場合は、英語表記だけでなく、現地語、ローマ字、略称、ブランドの読み方も候補に入れるべきです。日本向けサービスなら、会社名の英字表記だけでなく、ローマ字化したサービス名、キャンペーンの短縮名、会員ランク名も確認します。
入れすぎに注意すべき単語
一方で、次のような単語は慎重に扱います。
| 避けたい単語 | 理由 |
|---|---|
shop、travel、pay など一般的すぎる語 | 正当な強いパスワードまで拒否しやすい |
2026、spring など単独の季節・年号 | 汎用的すぎて誤検知が増える |
| 3文字以下の略称 | Microsoft の制限上、最小文字列長は4文字 |
| 個人名や顧客属性に基づく語 | プライバシー・運用面のリスクがある |
| 大量の漏えいパスワード | 1,000語制限に合わず、用途がずれる |
Microsoft のチュートリアルでは、カスタム禁止パスワードリストは最大 1,000 語、大小文字を区別しない、一般的な文字置換を考慮する、文字列長は 4〜16 文字という制限が示されています。更新が反映されるまで数時間かかる場合がある点も、テスト計画に入れておくべきです。(Microsoft Learn)
実装時の設計手順
Microsoft Entra External ID password protection を有効活用するには、管理センターで単語を登録する前の設計が重要です。特に Identity architects と security teams は、マーケティング、CS、プロダクト、SOC の情報を集めて候補語を作る必要があります。
| 手順 | 作業内容 | 判断基準 |
|---|---|---|
| 候補語を集める | ブランド名、アプリ名、会員制度、キャンペーン名、地域名を洗い出す | ログイン画面や広告で露出している語を優先 |
| ベース語に整理する | Contoso2026! ではなく contoso を登録する | バリエーションではなく根本語を登録 |
| 誤検知を確認する | 一般語すぎる単語を除外する | 強いパスフレーズまで拒否しないか確認 |
| テストユーザーで検証する | 作成・リセット時の拒否挙動を確認する | ユーザー向けエラーが理解できるか確認 |
| リリース後に監視する | サインアップ失敗率、リセット失敗率、問い合わせを確認する | セキュリティと UX のバランスを見る |
| 定期更新する | 新商品、買収ブランド、キャンペーン終了を反映する | 四半期または主要リリースごとに見直す |
設定作業そのものは、Microsoft Entra 管理センターで Authentication methods から Password protection に進み、カスタムリストを有効化して、1行に1つずつ文字列を追加する流れです。少なくとも Authentication Policy Administrator 相当の権限が必要になるため、運用では誰が追加・変更を承認するかも決めておきます。(Microsoft Learn)
サインアップとパスワードリセットの両方で考える
カスタム禁止パスワードは、パスワード作成時だけでなく、リセット時にも重要です。アカウント乗っ取りの文脈では、攻撃者が不正にリセットフローを進めるケースだけでなく、ユーザー自身が「忘れにくい弱いパスワード」に戻してしまうケースもあります。
Microsoft Entra External ID の SSPR では、ユーザーが Email OTP または SMS で本人確認を行い、その後に新しいパスワードを作成します。つまり、パスワードリセット画面は、弱いパスワードが再登録されやすい重要ポイントです。(Microsoft Learn)
特に次のようなサービスでは、パスワードリセット時の保護を重視すべきです。
- ECサイト、マーケットプレイス
- 決済・ウォレット・ポイントサービス
- 旅行、航空、ホテル、予約サービス
- 保険、金融、通信サービス
- ゲーム、サブスクリプション、会員制メディア
- B2C から B2B2C にまたがる顧客ポータル
これらのサービスでは、アカウントが乗っ取られると、金銭的被害だけでなく、個人情報閲覧、ポイント不正交換、配送先変更、予約変更、サポート窓口へのなりすましなどに広がります。カスタム禁止パスワードは、そうした攻撃の成功率を下げる「低摩擦な予防策」として位置付けるとよいでしょう。
他の防御策とどう組み合わせるべきか
カスタム禁止パスワードは強力ですが、単独でアカウント乗っ取りを防ぐ機能ではありません。Microsoft も、External ID の外部テナントでは MFA、Conditional Access、WAF、ボット対策、監視・アラートなどを組み合わせる防御層が必要だと整理しています。(Microsoft Learn)
| 対策 | 役割 | カスタム禁止パスワードとの関係 |
|---|---|---|
| カスタム禁止パスワード | 弱い新規パスワードを登録させない | 作成・リセット時の入口対策 |
| MFA | パスワードが漏れても追加認証を要求する | 高リスク操作時に特に有効 |
| Conditional Access | 場所・リスク・認証コンテキストで制御する | 決済、個人情報変更などで段階的に強化 |
| WAF・ボット対策 | 自動化された大量試行をエッジで抑える | credential stuffing や大量登録に有効 |
| 監視・アラート | 異常な失敗率や OTP 要求を検知する | ルールの効果と攻撃傾向を可視化 |
| セッション・トークン管理 | 侵害後の影響範囲を縮小する | 乗っ取り後の継続利用を抑える |
実務では、すべてのユーザーに常時 MFA を要求すると離脱が増える場合があります。そのため、低リスクの閲覧では摩擦を抑え、支払い、配送先変更、ポイント交換、メールアドレス変更などの高リスク操作で step-up MFA を求める設計が現実的です。Microsoft の External ID セキュリティ運用ガイドでも、eコマースの checkout や支払い前に MFA を要求する例が紹介されています。(Microsoft Learn)
失敗しやすいポイント
バリエーションを大量に登録してしまう
Contoso1!、Contoso2026、Contoso@123 のようなバリエーションを大量に登録するのは非効率です。Microsoft の評価ロジックは正規化やあいまい一致を考慮するため、基本的には contoso のようなベース語を登録するほうが有効です。(Microsoft Learn)
一般語を入れすぎてユーザー体験を悪化させる
travel、shop、club などの一般語は、業種によっては多くの正当なパスフレーズに含まれます。拒否率が高すぎると、ユーザーは「何を入れても通らない」と感じ、離脱や問い合わせにつながります。登録する単語は、攻撃リスクとユーザー影響の両方で評価します。
既存パスワードを自動的に安全化できると思い込む
Microsoft Entra Password Protection は、ユーザーがパスワードを変更またはリセットする際に禁止リストと照合します。既存ユーザーの現在のパスワードをその場で一括検査して自動変更する機能として捉えるべきではありません。(Microsoft Learn)
既存顧客のリスクを下げるには、カスタム禁止パスワードの導入に加えて、リスクの高いユーザーへの再認証、MFA 登録促進、パスワードリセットキャンペーン、異常ログイン検知を組み合わせます。
セキュリティチームだけでリストを作る
カスタム禁止パスワードの候補は、SOC や IAM チームだけでは網羅できません。攻撃者は、広告、アプリ画面、キャンペーン LP、SNS、FAQ、メールマガジンに出ている語を使います。
そのため、次の部門から情報を集めると精度が上がります。
- マーケティング：キャンペーン名、ブランド表記、ハッシュタグ
- プロダクト：機能名、アプリ名、会員ランク
- カスタマーサポート：ユーザーがよく使う略称
- リスク・不正対策：過去の不正ログイン傾向
- 地域担当：現地語表記、ローマ字表記、略称
グローバルサービスでの設計例
グローバル展開のコンシューマーサービスでは、同じブランドでも国や地域によって呼び方が変わります。たとえば、正式名称、短縮名、現地語読み、キャンペーン名、会員ランク名が混在します。
架空の会員制決済サービスを例にすると、候補語は次のように整理できます。
| カテゴリ | 候補例 | 登録判断 |
|---|---|---|
| 正式ブランド | contosopay | 登録 |
| 短縮名 | ctpay | 4文字以上なら登録候補 |
| 会員ランク | goldmember、platinum | 自社固有性が高ければ登録 |
| 地域名 | tokyo、london | 主要拠点や訴求地域なら登録候補 |
| キャンペーン | springbonus | 実施期間中と直後は登録候補 |
| 汎用語 | payment、wallet | 誤検知が多い可能性があるため慎重 |
| 年号 | 2026 | 単独登録は避ける |
リストは「一度作って終わり」ではありません。ブランド統合、M&A、新アプリ公開、大型キャンペーン、地域展開のたびに見直すべきです。特に、漏えいリストや不正ログイン試行で自社固有語が観測された場合は、候補語の優先度を上げます。
導入後に見るべき指標
カスタム禁止パスワードリストの効果は、単に「設定したかどうか」ではなく、運用指標で確認します。
| 指標 | 見る理由 |
|---|---|
| パスワード作成・リセット失敗率 | 拒否が多すぎないか確認する |
| サインアップ完了率 | セキュリティ強化による離脱を確認する |
| パスワードリセット問い合わせ件数 | UX 悪化や説明不足を検知する |
| 認証失敗率の急増 | パスワードスプレーや自動化攻撃の兆候をつかむ |
| MFA challenge 発生率 | 高リスク操作での追加認証状況を見る |
| WAF・ボット対策ログ | ID 基盤到達前の攻撃量を把握する |
| 地域別・ASN別の失敗傾向 | 不要地域や異常ネットワークからの試行を見つける |
Microsoft Entra External ID では、サインインや監査ログ、Usage & insights、Azure Monitor 連携などを使って、認証傾向や MFA 利用状況、異常を確認する運用が推奨されています。(Microsoft Learn)
まず取るべきアクション
Microsoft Entra External ID password protection を強化するなら、最初にやるべきことは明確です。既存のパスワードポリシーを複雑化する前に、自社サービスで使われやすい危険な単語を洗い出し、カスタム禁止パスワードリストとして管理することです。
実務では、次の順番で進めると失敗しにくくなります。
- ブランド名、サービス名、商品名、会員ランク、地域名、キャンペーン名を一覧化する
- バリエーションではなく、4〜16文字のベース語に整理する
- 一般語すぎる単語を除外し、ユーザー影響を確認する
- テストユーザーでパスワード作成・リセット時の拒否挙動を確認する
- MFA、Conditional Access、WAF、監視と組み合わせて本番展開する
- 四半期ごと、または主要キャンペーンごとにリストを更新する
カスタム禁止パスワードは、派手な機能ではありません。しかし、consumer account takeover defense においては、攻撃が成立する前の段階でリスクを下げる、費用対効果の高いコントロールです。Identity architects と security teams は、これを単なるパスワードポリシーではなく、CIAM の不正ログイン対策、UX、運用監視をつなぐ基礎設計として扱うべきです。
コメント