Google、Chrome（Windows）に2要素認証（2FA）バイパスを防ぐ新保護機能「Device Bound Session Credentials（DBSC）」を公開

Google、Chrome（Windows）に2要素認証（2FA）バイパスを防ぐ新保護機能「Device Bound Session Credentials（DBSC）」を公開

Googleは2026年4月9日、セッションCookieの窃取を防ぐ新技術「Device Bound Session Credentials（DBSC）」をChrome 146（Windows向け）で一般提供開始したと発表した。DBSCは認証セッションを利用したデバイスに暗号的に「バインド」することで、盗まれたセッションCookieを別の端末で悪用されにくくすることを狙った仕組みであり、特に情報窃取型マルウェアによる2FAバイパス（多要素認証の迂回）対策として注目されている。InfoSec Industry+1

概要 — なぜ今、DBSCが重要なのか

近年、ブラウザから大量のセッションCookieが盗まれ、ダークウェブやマーケットで売買される事例が急増している。研究報告では数十億〜約940億（※報告によって表現が異なる）にのぼる窃取Cookieが確認され、その一部は依然として「有効」なセッションを示しているとされる。攻撃者はこのようなCookieを用いて、ユーザーが既に2FAを通過したセッションを乗っ取り、パスワードや2FAコードを直接入手することなくアカウントにアクセスできてしまう。DBSCは、この「セッション単位の認証情報」を端末に結び付けることで、盗まれたCookie単体の価値を大幅に下げることを目的としている。TechRadar+1

DBSCの仕組み（技術的概観）

DBSCはセッションCookieに対して端末特有の情報を用いた暗号的保護を施す仕組みで、Windows環境ではTrusted Platform Module（TPM）などハードウェアに裏打ちされたキー管理を活用する。具体的にはログイン→2FA完了後に発行されるセッション資格情報を、その時点での端末のセキュリティ境界（TPM等）に紐づけることで、同じCookieを別端末にコピーしても認証が成立しないようにする。Google側はこのプロジェクトを通じて「セッション窃取に起因するアカウント乗っ取りリスクを大幅に低減する」と説明している。Chrome for Developers+1

攻撃の流れとDBSCが切り崩すポイント

典型的なセッション窃取ベースの2FAバイパスは、被害者の端末にマルウェア（あるいは中間者攻撃）が侵入してブラウザのセッションデータを抽出し、盗み取ったCookieを攻撃者の環境に配置、同じWebサービスへ接続して「認証済み」としてアクセスするという手順を取る。この手口の肝は「セッションに2FAが既に通っている」ことを示すフラグがCookie内に保持されている点で、従来の2FAはこの段階で無力化される。DBSCは認証セッションを発行した端末へ結び付けるため、盗まれたCookieが別端末から使われても無効化される可能性が高く、窃取→利活用という典型的な流れに割り込む防衛線となる。BleepingComputer+1

表：DBSC導入が狙う効果と運用インパクト

項目	期待される効果	運用上の注意点
セッション乗っ取りの阻止	盗まれたCookieを別端末で利用不可に	TPM非搭載端末や古い環境では効果が限定的
企業のインシデント量削減	情報窃取型マルウェアによる即時被害減少	端末管理・エンドポイント保護との併用が必須
ユーザー体験	ログインフローは変えずに安全性向上	企業シングルサインオン環境との調整必要

 

エンドユーザーと企業が取るべき具体策

個人利用者はまずChromeを最新版（Chrome 146以降、Windows版でのDBSC提供）に更新することが第一歩である。加えてTPMやOSのセキュリティアップデートを適用し、信頼できるアンチマルウェアを導入して端末侵害のリスクを下げることが重要だ。企業やセキュリティ管理者はDBSCを有効化するだけでなく、端末のハードウェア要件（TPMの有無）、管理ポリシー、モバイルやBYOD端末の扱いを再評価し、検知・封じ込めのためのエンドポイント保護とログ収集を強化する必要がある。Googleは段階的な展開とmacOS対応の拡張を示唆しており、運用面の準備が追いつけば効果はさらに高まる。InfoSec Industry+1

実務的なチェックリスト（短期的優先項目）

Chromeの自動更新が有効か、手動で最新バージョンへ更新できるか。OSとTPMファームウェアの更新が適切に適用されているか。エンドポイントのマルウェア対策製品がプロセスやブラウザのメモリ/ストレージアクセスを監視できる設定になっているか。これらはDBSCの効果を最大化するための「必須条件」であり、単体では不十分でも重層的に組み合わせることで攻撃の成功確率を低下させる。

留意点と今後の展開

DBSCは強力な防御だが万能ではない。TPM非搭載や古いデバイスでは恩恵が薄く、また攻撃者が端末自体を完全に掌握してしまった場合（root化や管理者権限取得）には効果が限定される点に注意が必要だ。加えて、macOSやモバイル環境への対応が順次行われる予定であるため、環境横断での保護レベルは今後変化する。組織はDBSCを「新たな防護層」として取り込みつつ、既存のゼロトラスト原則、最小権限、継続的な脅威検知体制を強化することが求められる。Chrome for Developers+1

まとめ

Chrome 146（Windows）でのDBSC公開は、セッション窃取型攻撃とそれを利用した2FAバイパスに対する実効的な対策の一歩である。大量に出回る盗まれたCookieの問題を鑑みると、端末にバインドするという発想は確かに有効で、個人・企業問わず早期に対応を進めるべき重要な技術的施策だ。DBSCは単独で完璧な解決を約束するものではないが、既存の多要素認証やエンドポイント保護と組み合わせることで、アカウント乗っ取りの難易度を格段に引き上げることが期待される。InfoSec Industry+2BleepingComputer+2