セキュリティ対策とは、一言で言うと「正義の味方と悪の終わらない戦い」。
正義の味方が新しい守りを編み出すと、悪は必ずその裏をかく方法を編み出してきます。そして正義の味方はまた次の守りを作る――。この攻防の歴史をたどってみると、なぜ今 Salesforce が、パスキーという新しい認証方式を義務付け始めたのかが分かります。
インターネットの黎明期の防御は、いわば城の入り口に門番を立て、通りかかった者に「合言葉」を答えさせるシンプルな仕組みでした。ユーザー認証はID とパスワードだけが頼りで、「本人しか知らない合言葉を正しく答えられた者だけを城内（サービス）に通す」というルールだけで守っていたのです。
**➔ 結果：**門番は「合言葉が正しいかどうか」しか見ていないため、一度でも合言葉が盗み聞かれれば、あとは誰でも――敵の忍者であっても――味方と同じように城内に入れてしまいます。「合言葉ひとつだけ」の防御では、もう城を守りきれなくなりました。
<aside> 📝
IDとパスワードだけの認証では、一度漏れたらその情報を手にした人は誰でもログインできてしまう。合言葉ひとつだけでは、本人か別人かを見分ける手がかりがない。
</aside>
パスワードを盗まれるなら、「アクセスできる場所」を縛ればいい。そう考えて自治体や企業が導入したのが、特定のネットワークからしかアクセスを許可しない「IPアドレス制限」です。
エンジニアの守り：城門の強化（専用の道しか通さない） 「たとえ合言葉（パスワード）が漏れても、外の怪しいルートからのアクセスはすべて遮断する！役所が管理している『専用の道（庁内IP）』から歩いてきた、味方の忍者（職員）だけを城内に入れろ！」
ハッカーの逆襲：変装の術（味方のフリをして専用の道を歩く） ハッカー（敵の忍者）は、ウイルスや偽サイトを使って、味方の合言葉だけでなく「専用の道を歩くための通行証（通信ルート）」まで丸ごと奪い取り、味方の忍者に完璧に変装する技を編み出したのです。
ハッカーは味方のフリ（なりすまし）をしたまま、専用の道（正しいIPアドレス）を堂々と歩いて城門をすり抜けてしまいました。
➔ 結果：「どこから来たか（場所・ルート）」を信じる防御は、ハッカーの『変装術』によって破られました。 門番（IP制限）は、歩いてきたルートしか見ていないため、完璧に味方に変装して専用の道を歩いてくる敵を見破ることはできません。だからこそ、次のフェーズでは、たとえ専用の道から来た相手であっても「お前は本当に本人か？（MFA）」のチェックを重ねる戦いへと移行します。
<aside> 📝
IPアドレス制限は**「誰がアクセスしているか」ではなく、「どこからアクセスしているか」しか見ていない**ため、ハッカーが信頼されたネットワークになりすませば、味方のフリをして堂々と内部に入れてしまう。
</aside>