MFAを設定したから安全、ではない　スマホの「承認」を狙うMFA疲労攻撃の話

インターネットのサービスを使っていると、ログイン時にスマートフォンへ通知が届き、「承認」や「許可」を求められることがあります。

これは、多要素認証、いわゆるMFA（Multi-Factor Authentication）の一種です。

パスワードだけではなく、スマートフォンや認証アプリなど、別の要素でも本人確認を行うことで、アカウントを守りやすくする仕組みです。

パスワードが漏れてしまっても、スマートフォン側で承認されなければ、攻撃者は簡単にはログインできません。

そのため、MFAは重要な対策です。
設定していない状態より、設定した方が明らかに安全性は高まります。

しかし、ここで注意が必要です。

MFAを設定したから、もう安心というわけではありません。

攻撃者は、仕組みを正面から破れない場合、利用者自身に承認させる方法を考えます。

その代表的な手口が、多要素認証疲労攻撃（MFA Fatigue Attack）です。

何度も届く「ログインを承認しますか？」

ある日、あなたのスマートフォンに次のような通知が届いたとします。

「サインインを承認しますか？」

しかし、自分ではログイン操作をしていません。

当然、最初は拒否するでしょう。

ところが、しばらくすると、また同じ通知が届きます。
さらに数分後にも届きます。
仕事中、移動中、あるいは夜間にまで、繰り返し通知が来るかもしれません。

最初は警戒していても、何度も続くと人は次第に面倒になります。

「何かの不具合かもしれない」
「承認すれば、この通知は止まるのではないか」
「自分が何か操作したのを忘れているだけかもしれない」

そのように考えて、つい一度だけ「承認」を押してしまう。

すると、攻撃者のログインが成立してしまいます。

これがMFA疲労攻撃の基本的な仕組みです。

MITRE ATT&CKでは、この手口を、攻撃者が利用者へMFA要求を発生させ、承認を引き出してアカウントへのアクセスを得ようとする攻撃として整理しています。繰り返し通知を送り、利用者が疲れたり混乱したりして承認してしまうケースも記載されています。

狙われているのは、認証の仕組みではなく人間の判断

MFA疲労攻撃は、MFAの暗号技術を直接破る攻撃ではありません。

狙われているのは、利用者の判断です。

たとえば、玄関の鍵を二つに増やしたとします。

鍵が一つだけの家より、侵入は難しくなります。
しかし、玄関先で何度もチャイムを鳴らされ、「管理会社です。点検のため開けてください」と言われて、自分でドアを開けてしまえば、鍵の数は意味を失います。

MFA疲労攻撃も同じです。

攻撃者は、認証を機械的に突破するのではなく、利用者に「開けさせる」ことを狙います。

さらに厄介なのは、攻撃者がIT担当者やサポート窓口を装う場合です。

「認証システムの確認作業です」
「先ほど通知を送りましたので、承認してください」
「承認しないとアカウントが停止します」

このように言われると、仕事で使うアカウントほど、利用者は焦って対応してしまう可能性があります。

だからこそ、MFA疲労攻撃は、単なる通知の問題ではありません。

人の焦り、思い込み、面倒を避けたい気持ちを利用する攻撃なのです。

多くの場合、攻撃者はすでに入口まで来ている

MFA疲労攻撃では、多くの場合、攻撃者が対象者のIDやパスワードを何らかの方法で入手し、ログインを試みています。

たとえば、偽のログイン画面にパスワードを入力してしまった。
別のサービスから漏れたパスワードを使い回していた。
端末やブラウザから認証情報が盗まれた。

こうした状況では、攻撃者はパスワードの段階を通過できても、MFAによる確認で止められます。

そこで、正規の利用者へ承認通知を送り、本人に最後の扉を開けさせようとします。

ただし、ここは正確に理解する必要があります。

身に覚えのない通知が来たからといって、必ずパスワードが漏れていると断定はできません。

認証要求が誤って発生した可能性や、パスワードリセットなど別の仕組みが悪用されている可能性もあります。MITRE ATT&CKも、有効な認証情報を持つ攻撃者によるケースに加えて、設定によってはセルフサービス型のパスワードリセットで認証情報なしに通知が悪用され得ることを示しています。 、理由が何であれ、自分が操作していない認証要求を承認してよい理由はありません。

身に覚えのない承認要求は、不審なものとして扱う。

これが基本です。

MFAそのものが危険なのではない

ここで、「MFAにも抜け道があるなら、設定しても意味がないのでは」と思う人がいるかもしれません。

それは誤りです。

MFAがなければ、攻撃者はパスワードを入手した時点でログインできる可能性があります。

MFAがあるからこそ、攻撃者は利用者に通知を送り、承認させるという追加の手間をかけなければなりません。

つまり、MFAは依然として重要です。

問題は、MFAを導入しただけで安全になったと思い込むことです。

特に注意が必要なのは、スマートフォンへ通知が届き、利用者が単純に「承認」か「拒否」を選ぶ方式です。

操作が簡単で便利な反面、忙しいときや混乱したときに、内容を十分確認せずに承認してしまう危険があります。

セキュリティ対策では、便利さと安全性が常に同じ方向を向くとは限りません。

操作が簡単であるほど、人間のうっかりを狙われやすくなる場合があります。

「番号を入力する方式」なら安全なのか

単純な承認通知より強い対策として使われているのが、番号照合（Number Matching）です。

これは、ログイン画面に表示された数字を、スマートフォン側の認証アプリへ入力しなければ承認できない仕組みです。

ただ「承認」を押すだけではログインが完了しないため、何も考えずに誤承認してしまう危険を減らせます。

Microsoftは、MFA疲労攻撃による誤承認を防ぐため、Microsoft Authenticatorのプッシュ通知において番号照合を有効化することを推奨し、現在は同アプリの利用者に対する標準動作として有効にしています。 、番号照合を使えば完全に安全になるわけではありません。

たとえば、攻撃者が電話やチャットでサポート担当者を装い、

「画面に表示された番号を入力してください」
「認証エラーの確認作業です」

と誘導すれば、利用者がだまされる可能性は残ります。

番号照合は、通知連打による誤承認を減らすための有効な対策です。
しかし、利用者をだます攻撃すべてを防げるわけではありません。

より強い認証は、偽の要求に応じにくい仕組み

現在、より強い認証方式として重視されているのが、パスキーやセキュリティキーなど、FIDO2 / WebAuthnに基づく認証です。

これらは、認証を行う正しいサービスのドメインと結び付いて動作するため、偽サイトや単純な通知連打で認証を奪われにくい性質があります。

NISTは、WebAuthnをフィッシング耐性を実現する標準の例として示しています。また、一定水準以上の認証では、フィッシング耐性を持つ認証手段を提供・利用することを重視しています。 、ここでも完全ではありません。

認証方式が強くなっても、端末自体が乗っ取られる、アカウント回復手続が悪用される、ログイン後の情報や操作が狙われる、といったリスクは残ります。

つまり、より強い認証は重要ですが、それだけであらゆる攻撃を防げるわけではありません。

身に覚えのない認証通知が来たらどうするか

利用者が覚えておくべき対応は、難しいものではありません。

自分がログイン操作をしていないのに認証通知が来た場合は、承認しないことです。

通知が一度だけでも、何度も続いても同じです。

会社のアカウントであれば、通知を拒否したうえで、社内の正式な問い合わせ窓口やセキュリティ窓口へ連絡します。認証アプリに「不審な要求を報告する」といった機能がある場合は、それも利用します。

個人で利用しているサービスであれば、通知内のリンクではなく、公式アプリや公式サイトからログイン履歴を確認します。必要であれば、パスワードを変更し、登録端末や認証設定も見直します。

特に重要なのは、次の点です。

サポート担当者や社内担当者を名乗る相手から認証承認を求められても、その場で応じない。

本当に必要な確認であれば、自分から正式な窓口へ連絡し、事実を確認できます。

相手が急がせるほど、立ち止まるべきです。

企業側は「MFA導入済み」で満足してはいけない

MFA疲労攻撃は、利用者の注意力だけに任せて防げる問題ではありません。

利用者へ「気をつけてください」と伝えるだけでは不十分です。
人は忙しいときに判断を誤りますし、通知が日常化していれば反射的に操作することもあります。

企業が確認すべきなのは、MFAを導入しているかどうかではなく、どの方式で運用しているかです。

単純な承認ボタン型の通知が残っているなら、番号照合や表示情報の追加を検討すべきです。

管理者、経営層、財務担当者、人事担当者、重要情報を扱う利用者など、侵害された場合の影響が大きいアカウントでは、パスキーやセキュリティキーなど、フィッシング耐性を持つ認証方式を優先する必要があります。

さらに、短時間に大量の認証要求が発生した場合の検知、不審な地域や端末からのアクセス制御、利用者が迷わず報告できる窓口の整備も必要です。

MITRE ATT&CKも、単純承認型のMFAより安全な方式への移行、短時間に送信できる認証要求数の制限、不審な通知の報告教育、異常なMFA要求の監視を対策として挙げています。

セキュリティに「これで完全」はない

MFAは必要です。

しかし、MFAを設定しただけで「もう安全だ」と考えるのは危険です。

パスワードだけの認証が弱ければ、攻撃者はパスワードを狙います。
MFAで止められるようになれば、今度は通知を承認させようとします。
通知が強化されれば、担当者を装って利用者をだまそうとします。
認証が強固になれば、端末や回復手続、ログイン後の操作を狙います。

攻撃者は、防御が変われば狙い方を変えます。

だから、セキュリティには「これを入れれば終わり」という対策はありません。

必要なのは、一つの仕組みに期待しすぎず、認証方式を強くし、異常を検知し、利用者がすぐ報告でき、万一突破されても被害を広げないように備えることです。

MFAは、重要な防御です。
しかし、万能な防御ではありません。

最後に、利用者が覚えておくべきことは一つです。

自分が始めていないログインの承認要求は、絶対に承認しない。

その判断が、攻撃者に最後の扉を開けないための基本になります。

参考資料