2026-10-20
管理画面への不正ログイン対策のお願い
過去の情報漏えい等によって流出したID・パスワードの組み合わせが、現在大量に出回っています。この状況を受け、Kurocoをご利用のすべてのサイトで、以下のいずれかの対応を実施いただくよう強く推奨します。
- 対策A: 管理画面のIPアドレス制限 および ID・パスワードの棚卸し
- 対策B: メールアドレス・パスワードによるログインを使わず、SSO（外部連携ログイン）のみにする
いずれもKurocoの標準機能で設定できます。
想定しているリスク
管理画面にIPアドレス制限が設定されていない場合、第三者が流出した認証情報を用いてログインを試みることができます。流出した認証情報と現在使用中のものが一致した場合、システムの脆弱性を悪用することなく、正規のログイン手順で不正アクセスが成立します。
Kurocoには、ログインに複数回失敗するとログイン処理を一時的にロックする機能があり、総当たりによる試行のリスクは緩和されています。しかし、正しいID・パスワードの組み合わせが流出している場合は、少ない試行回数でログインが成立するおそれがあり、ロック機能だけでは防げません。
対策A: 管理画面のIPアドレス制限 および ID・パスワードの棚卸し
1. 管理画面のIPアドレス制限を設定する
[環境設定] -> [管理画面] -> [管理画面]をクリックし、[管理画面のアクセス制限(IPアドレス)]の[有効にする]にチェックを入れて、アクセスを許可するIPアドレスを入力します。単一のアドレスのほか、CIDR表記でも指定できます。
Admin MCPを利用している場合は、[Admin MCPのアクセス制限(IPアドレス)]もあわせて設定します。
設定を保存すると、登録したIPアドレス以外からは管理画面にアクセスできなくなります。現在作業しているネットワークのIPアドレスや、在宅勤務・外出先など管理画面を利用するすべての接続元が登録されていることを確認してから保存してください。
詳細は管理画面を参照してください。
2. ID・パスワードを棚卸しする
以下を確認し、不要なアカウントや過剰な権限を整理します。
- 不要なアカウントの削除: 退職者・異動者、契約が終了した外部パートナー、テスト用のアカウントが残っていないかを[メンバー管理] -> [メンバー]で確認します。
- 利用者および権限の確認: 各メンバーが所属するグループと権限が、現在の業務に対して過剰でないかを確認します。
- パスワードの管理状況の見直し: 他サービスと同じパスワードを使い回していないか、共有アカウントを複数人で使っていないかを確認します。必要に応じてパスワードを変更します。
- ログインの記録の確認: [オペレーション] -> [ログ管理]の[ログインログ]・[ログイン失敗ログ]で、心当たりのないログインや失敗が記録されていないかを確認します。
Microsoft Entra IDなどのIDプロバイダでメンバーを管理している場合は、SCIM連携の利用も有効です。IDプロバイダからKurocoへのメンバーの作成・更新・削除が自動で同期され、IDプロバイダ側でユーザーの割り当てを解除するとKurocoのメンバーも無効化されるため、退職者・異動者のアカウントの削除漏れを防げます。なお、グループの権限は同期されないため、Kurocoの管理画面で設定してください。
あわせて、[環境設定] -> [サイト管理]で以下の設定を見直すことを推奨します。
| 項目 | 内容 |
|---|---|
| ワンタイムパスワード | 管理画面ログイン時のワンタイムパスワードの利用有無を選択します（利用しない、利用する、必須）。必須にすると、ID・パスワードが一致しても、ワンタイムパスワードがなければログインできません。 |
| ログインロック機能を使う | 5回ログインに失敗したら、アカウントをロックします。 |
| パスワードのブラックリスト | ログインIDやメールアドレスと同じパスワードなど、利用を禁止するパスワードを設定します。 |
詳細はサイト管理を参照してください。
対策B: SSO（外部連携ログイン）のみにする
社内でIDaaSやGoogle Workspace、Microsoft Entra IDなどのIDプロバイダを利用している場合は、管理画面へのログインをSSOに限定することで、Kurocoのメールアドレス・パスワードが流出した場合でも、そのパスワードでは管理画面にログインできないようにします。
- SAML SP・OAuth SP・IDaaSのいずれかで、管理画面へのSSOログインを設定します。
- SSOでログインできることを確認します。
- [環境設定] -> [管理画面] -> [管理画面]をクリックし、[メールアドレスを管理画面ログインに利用しない]の[有効にする]にチェックを入れます。
手順3を先に行うと、SSOの設定に不備があった場合に管理画面へログインできなくなります。必ずSSOでのログインを確認してから設定してください。
SSOの設定方法は以下を参照してください。
会員制サイトをご利用の場合: 2要素認証の導入
フロントエンドに会員ログインを実装している会員制サイトでも、流出したID・パスワードによる不正ログインのリスクは同様です。会員制サイトにはIPアドレス制限を適用できないことが多いため、ログインAPIへの2要素認証の導入を推奨します。
ログインのエンドポイント（login_challenge）の[twofactor_method]で方式を選択すると、2要素認証を有効にできます。選択可能値はcode（TOTP）、email（メール）、SMS（SMS）です。2要素認証を有効にした場合、フロントエンド側にワンタイムパスワードの入力画面とlogin_challenge_mfaの呼び出しを実装する必要があります。
あわせて、[use_recaptcha]にチェックを入れてログイン時にreCAPTCHAを使用することで、自動化されたログイン試行を抑制できます。
実装方法は以下を参照してください。
実施時期
可能な限り早期の実施を強く推奨します。
Kurocoの今後の取り組み
Kurocoでは引き続き、セキュリティ対策に重点を置いて機能の強化を進めてまいります。あわせて、お客様のサイトを安全にご利用いただくため、上記の対策の実施にご協力をお願いいたします。
お問い合わせ先
本件についてご不明点がございましたら、Kurocoサポートまでお気軽にお問い合わせください。
関連ドキュメント
サポート
お探しのページは見つかりましたか？解決しない場合は、問い合わせフォームからお問い合わせいただくか、Slackコミュニティにご参加ください。