- MFA疲労攻撃とは、盗んだIDとパスワードでログインを繰り返し、本人のスマホへ承認通知を大量に送りつけて誤って承認させる攻撃のことだ。
- 狙われているのは認証の仕組みではなく人間の集中力で、深夜や会議中の一瞬の油断がそのまま突破口になる。
- 通知が連打された時点で自分のパスワードはすでに漏れていると考える癖がつけば、承認を押す前に一呼吸置けるようになる。
この4コマで描かれた解錠は、企業の現場でそのまま再現されうる事故です。玄関の鍵が頑丈でも、住人が自分の意思で開ければ意味を失います。認証も同じで、承認ボタンを押すのは攻撃者ではなく従業員本人だという点に、この攻撃の厄介さが凝縮されています。
コマ②で通知が積み上がっている状態は、すでにIDとパスワードが第三者の手に渡っている証拠でもあります。ここを見逃すと被害の起点が特定できず、事後調査の範囲が一気に膨らみます。実際、Uberは2022年のセキュリティ更新で、契約社員が繰り返し届いた二要素認証の承認要求のうち1件を受け入れた結果、攻撃者のログインを許したと説明しました。1回の誤操作が全社的な調査へ発展した事例だと言えます。
経営面で見れば、この攻撃は従業員の不注意ではなく設計の問題として扱うべきものでしょう。夜間に承認を求められる状況を放置していた運用、通知の回数制限がない設定、報告先が周知されていない体制。いずれも管理側の責任範囲に入ります。個人の注意力に頼らない仕組みへ切り替えることが、再発を防ぐ最短ルートになります。
なぜMFA疲労攻撃は多要素認証を導入していても成立するのか？
MFA疲労攻撃の構造は、3つの部品に分解すると理解しやすくなります。1つ目は事前に手に入れた正しいIDとパスワード、2つ目は何度でも送れるプッシュ通知、3つ目は通知を止めたいという人間の心理です。この3つが揃った瞬間に、堅牢なはずの多要素認証が形骸化します。
先ほどの1%未満という割合は、決して安心材料になりません。母数が1日6億件ですから、比率が小さくても実数は膨大です。しかも狙われるのは、すでに認証情報が漏れている特定の個人。無差別なパスワード当てとは違い、成功すればそのまま社内システムへの正規ログインが成立してしまう点で、被害の深さがまるで異なります。
ただし数値一致は万能ではありません。米国のCISAは2022年10月31日にフィッシング耐性MFAと数値一致MFAに関するガイダンスを公開し、本命はFIDOやPKIを使ったフィッシング耐性のある方式だと位置づけたうえで、それを即座に導入できない組織向けの暫定的な緩和策として数値一致を推奨しています。順番を取り違えると、対策したつもりで終わってしまうかもしれません。
MFA疲労攻撃のよくある誤解
多要素認証を入れたので、この攻撃は関係ないという思い込み
MFA疲労攻撃は、多要素認証を導入している組織だけを狙う攻撃です。プッシュ通知型の承認が使われていること自体が前提条件になるため、対策済みという意識がかえって隙を生みます。導入の有無ではなく、どの方式で承認しているかが分かれ目になると考えてください。
承認さえ押さなければ被害はゼロで終わる
押さなかったことは大きな成果ですが、それで話は終わりません。通知が届いた事実は、あなたのIDとパスワードがすでに第三者へ渡っていることを意味します。放置すれば、時間帯を変えて再挑戦されるだけではないでしょうか。パスワードの変更と管理者への報告まで済ませて、初めて対応が完了します。
通知を切ってしまえば手っ取り早い
通知そのものを止めるのは、玄関のインターホンを外すのと同じで本末転倒です。承認できなければ業務が止まりますし、不正ログインの兆候にも気づけなくなります。取るべき手は通知の遮断ではなく、数値一致の有効化や、短時間に大量の要求が発生した際に自動でブロックする設定の追加になります。
会話での使われ方
身に覚えのない認証通知が続いたら、絶対に承認せず情報システム部へ連絡してください。MFA疲労攻撃の可能性があります。パスワードの変更もあわせてお願いします。
例文1の状況説明：情報システム部の担当者が、全社員の参加するSlackの連絡チャンネルへ投稿した注意喚起です。
MFAは入れていますが、この構成はMFA疲労攻撃に耐えられますか。
例文2の状況説明：認証基盤の刷新を検討している事業会社の情報システム部長が、提案に訪れたベンダーの営業担当へ投げかけた質問です。
昨日の深夜、承認通知が10回くらい連続で来てさ。眠くて押しそうになったよ。あれ完全にMFA疲労攻撃だったから、朝いちでパスワード変えた。
例文3の状況説明：社員食堂でのランチ中に、先輩エンジニアが新人へ自分の体験談として語った雑談です。
MFA疲労攻撃の歴史
MFA疲労攻撃は、大企業の侵害事例をきっかけに広く知られ、そこから業界標準の対策が整備されていった経緯を持ちます。年表で追うと、攻撃と防御がどう噛み合ってきたかが見えてきます。
| 年 | 出来事 |
|---|---|
| 2022年 | Uberが公表したセキュリティ更新で、契約社員が繰り返し届いた二要素認証の承認要求のうち1件を受け入れ、攻撃者のログインを許したと説明された。手口の知名度が一気に高まる。 |
| 2022年 | 10月31日、米国のCISAがフィッシング耐性MFAと数値一致MFAに関するガイダンスを公開。プッシュ通知型を使う組織への緩和策として数値一致を推奨した。 |
| 2023年 | 5月8日、Microsoftが管理者向け設定を廃止し、Microsoft Authenticatorのプッシュ通知を使う全ユーザーへ数値一致を強制適用した。 |
| 現在 | Microsoft Digital Defense Report 2024では、1日6億件超のID攻撃のうちMFA回避型は1%未満とされる一方、成功時の影響が大きいため警戒が続いている。 |
MFA疲労攻撃とAiTM攻撃の違い
MFA疲労攻撃とAiTM攻撃は、どちらも多要素認証を回避する手口としてまとめて語られがちです。しかし奪う対象も成立に必要な前提も別物なので、対策を選ぶ前に切り分けておく価値があります。
| 比較観点 | MFA疲労攻撃 | AiTM攻撃 |
|---|---|---|
| 攻撃の狙い | 本人に承認ボタンを押させること | 認証後のセッション情報を奪うこと |
| 主な手口 | プッシュ通知を大量に送り、根負けを誘う | 偽サイトを通信の間に挟み、入力内容を横取りする |
| 成立の前提 | IDとパスワードがすでに漏れている | 利用者を偽サイトへ誘導できる |
| 有効な対策 | 数値一致、通知回数の制限、フィッシング耐性MFA | フィッシング耐性MFA、デバイスの条件付きアクセス |
【まとめ】MFA疲労攻撃の3つのポイント
- 鍵ではなく住人を狙う攻撃：認証の仕組みを壊さず、承認する人間の根負けだけを利用する
- 数値一致で反射的な承認を封じる：画面の数字を入力させる方式へ切り替え、寝ぼけた操作を成立させない
- 通知の連打はパスワード流出のサイン：押さなかった場合でも変更と報告まで実行し、次の試行に備える
よくある質問
-
QMFA疲労攻撃を受けているかどうか、どう見分ければいいですか？
-
A
自分がログイン操作をしていないのに承認通知が届いたら、その時点で攻撃を疑ってください。判断の軸は回数ではなく、心当たりの有無です。深夜や休日など業務外の時間帯に連続して届くケースが典型例になります。
-
Q身に覚えのない認証通知が届いたら、まず何をすればいいですか？
-
A
すべて拒否したうえで、パスワードの変更と管理者への報告を行ってください。通知が来ている以上、IDとパスワードは外部へ渡っていると考えるのが安全です。会社の端末であれば、自己判断で処理せず情報システム部門に共有しておきましょう。
-
QMFA疲労攻撃を防ぐのに最も効果が高い対策は何ですか？
-
A
FIDOやPKIを用いたフィッシング耐性MFAへの移行が本命です。CISAは2022年10月のガイダンスでこの方式を推奨し、すぐに導入できない組織には数値一致を暫定的な緩和策として挙げています。まず数値一致を有効化し、並行して移行計画を立てる進め方が現実的でしょう。
-
QMFA疲労攻撃とAiTM攻撃との違いは何ですか？
-
A
奪う対象が違います。MFA疲労攻撃は本人の承認操作そのものを引き出す手口で、IDとパスワードがすでに漏れていることが前提になります。一方のAiTM攻撃は偽サイトを通信の間に挟み、認証後のセッション情報を横取りする手口です。前者は数値一致で緩和でき、後者はフィッシング耐性MFAやデバイスの条件付きアクセスが要になります。
MFA疲労攻撃と一緒に知っておきたい用語
| 用語 | MFA疲労攻撃との関連 |
|---|---|
| 多要素認証（MFA） | この攻撃が標的とする認証方式そのもので、承認方式の選び方が防御力を左右する |
| パスワードリスト攻撃 | 攻撃の前提となるIDとパスワードを攻撃者が入手する典型的な経路 |
| ソーシャルエンジニアリング | 人間の心理を突くという点で上位概念にあたり、MFA疲労攻撃はその一形態 |
| パスキー | 承認ボタン方式を置き換える手段で、フィッシング耐性MFAの代表格 |
| AiTM攻撃 | 同じくMFAを回避する手口だが、狙うのはセッション情報という違いがある |
【出典】参考URL
https://www.uber.com/newsroom/security-update/ ：2022年のUberの事案で、契約社員が繰り返し届いた二要素認証の承認要求の1件を受け入れた経緯の根拠
https://www.microsoft.com/en-us/security/security-insider/threat-landscape/microsoft-digital-defense-report-2024 ：1日6億件超のID攻撃のうち99%超がパスワード起因で、MFA回避型が1%未満という割合の根拠
https://learn.microsoft.com/en-us/entra/identity/authentication/how-to-mfa-number-match ：数値一致（ナンバーマッチング）の仕組みと適用範囲の根拠
https://www.bleepingcomputer.com/news/microsoft/microsoft-enforces-number-matching-to-fight-mfa-fatigue-attacks/ ：2023年5月8日から数値一致が全テナントへ強制適用された日付の根拠
https://www.cisa.gov/news-events/alerts/2022/10/31/cisa-releases-guidance-phishing-resistant-and-numbers-matching-multifactor-authentication ：CISAがフィッシング耐性MFAと数値一致MFAのガイダンスを公開した日付の根拠
https://www.nri-secure.co.jp/glossary/mfa-fatigue-attack ：MFA疲労攻撃の定義と、FIDO／WebAuthnが推奨される点の根拠
コメント