ChromeがDBSCでアカウント乗っ取り対策を強化
原題: Chrome adopts what may be the best protection yet against account takeovers
なぜ重要か
セッションクッキー窃取型の攻撃が拡大する中、ハードウェアレベルでの防御をブラウザに標準実装する動きは、アカウントセキュリティの水準を大きく引き上げる可能性がある。
Googleは2026年8月、ChromeブラウザにDevice-bound Session Credentials（DBSC）機能を追加した。DBSCはセッションクッキーをデバイス内蔵のTPMや Secure Enclave に保存された暗号鍵と紐付けることで、クッキー盗難によるアカウント乗っ取りを防ぐ。現時点ではWindows版Chrome 147およびmacOS版Chrome 150の一部ユーザーに限定提供されている。
Googleは2026年8月11日、ChromeブラウザにDevice-bound Session Credentials（DBSC）と呼ばれる新機能を導入した。DBSCは、セッションクッキーをデバイスに内蔵されたセキュリティチップ（WindowsではTPM、macOSおよびiOSではSecure Enclave）に保存された固有の暗号鍵と紐付ける仕組みだ。
セッションクッキーとは、ウェブサイトがユーザーの認証済み状態を維持するためにブラウザに保存する文字列であり、ページを開くたびに再ログインを求めずに済む仕組みを提供する。しかし、二要素認証（2FA）やパスキーなどの普及によってパスワードのみによる不正アクセスが困難になるにつれ、攻撃者はインフォスティーラーマルウェアや中間者攻撃（AiTM）を用いてセッションクッキーを窃取する手法に移行している。クッキーを盗んだ攻撃者は、自身のブラウザにそのクッキーを貼り付けるだけで正規ユーザーと同等のアクセス権を得られる。
DBSCはこの問題への対策として機能する。ウェブサイトがセッションクッキーを設定すると、ブラウザはTPMまたはSecure Enclaveに保存された秘密鍵で署名したクッキーの応答をサーバーへ送信しなければならない。これらのチップは秘密鍵の外部抽出を防ぐ設計になっているため、攻撃者がクッキーを盗んでも、DBSC認証チャレンジに応答することができない。
セキュリティ研究者でReport URI創設者のScott Helme氏は「攻撃者はデバイスからその秘密鍵を盗めない。これがDBSCの核心的な保護機能だ。クッキーを盗んでも、秘密鍵で署名してチャレンジに答えることは不可能」とコメントした。
現時点でDBSCはWindows版Chrome 147、macOS版Chrome 150の限られたユーザーのみに提供されており、Googleが全般提供前にテスト段階にあるとみられる。ユーザーはChrome開発者ツールのアプリケーションタブから対応状況を確認できる。