EvilTokensプラットフォームの提携先と見られるARTokenの出現は、個別の脅威というより、サイバー犯罪経済がどこへ向かっているかのシグナルである。完全な産業化だ。SaaSが正規のソフトウェア配信を再構築したように、フィッシング・アズ・ア・サービスは高度なMicrosoft 365侵害を、提携収益配分、ダッシュボード、サポートを備えたレンタル可能な階層型製品に変えた。企業レベルの認証情報およびセッショントークン窃取を実行する障壁は、エリートスキルから月額サブスクリプションへと崩壊した。

経営幹部が内在化すべき戦略的転換点は、これらのキットが単にパスワードではなく、セッショントークンとOAuthフローをますます標的にしているということだ。これは、ほとんどの取締役会が"完了"とチェックしているMFA展開を無力化する。攻撃者中間者ツールキットは本物のMicrosoftログインをプロキシし、認証後のトークンを収集して再生する。SMS、アプリベース、さらには一部のプッシュ承認型MFAさえも回避するのだ。Microsoft 365とEntra IDを標準化している組織、つまりFortune 500の圧倒的多数にとって、これは想定された制御層への直撃弾である。

防御の経済学はそれに応じてシフトしている。静的なMFAは今や必要最低限であり、堀ではない。信頼できる制御は、フィッシング耐性のあるFIDO2/パスキー認証、管理デバイスコンプライアンスと連動した条件付きアクセス、セッション途中でトークンを取り消す継続的アクセス評価、そして積極的なトークン有効期間の短縮である。ID脅威検知・対応を中心に位置するベンダー、つまりMicrosoft自身のDefender for Identity、さらにCrowdStrike、Okta、Push Securityなどは、支出が防御の見せかけからセッション整合性監視へ移行するにつれて恩恵を受けるだろう。

投資家にとっての要点は、IDが新たな境界線であり、最も急成長しているセキュリティTAMであるということだ。PhaaS供給チェーンはまた政策的側面も生み出している。共有インフラの撤去には依然として弱い国境を越えた協調が必要であり、攻撃側のイノベーションに対する法執行は何年も遅れ続けることを意味する。

推奨される対策:CISOはトークン有効期間を監査し、すべての特権および財務役割に対して2四半期以内にパスキーを義務化すべきであり、MFAのみの態勢は現代のPhaaS に対して事実上無防備であると扱うべきだ。取締役会は、エンドポイント数量ではなくID耐性を中心にサイバー予算を再構築すべきである。