【ITニュース解説】MFA's Weakest Link: Account Recovery Is the New Attack Path

現代のデジタル社会において、個人や組織の情報資産を守ることは非常に重要である。そのための基本的なセキュリティ対策の一つに「多要素認証（MFA）」がある。MFAは、ユーザーが本人であることを確認するために、複数の異なる種類の認証要素を組み合わせて利用する仕組みだ。例えば、パスワードという「知っていること」だけでなく、スマートフォンに送られるワンタイムパスワードや指紋認証といった「持っているもの」や「本人であること」を組み合わせることで、セキュリティ強度を大幅に向上させる。単一のパスワードだけでは、それが漏洩した場合に容易にアカウントを乗っ取られてしまうリスクがあるが、MFAを導入することで、たとえパスワードが盗まれても、別の認証要素がなければログインできないため、不正アクセスを防ぐことができる。このため、多くの企業やサービスでMFAの導入が進み、アカウント乗っ取りに対する非常に効果的な防御策として認識されている。

MFAは確かに強力な防御策だが、セキュリティシステムにはしばしば「最も弱いリンク」が存在する。現在の主要な攻撃トレンドを見ると、その弱いリンクとして「アカウント復旧プロセス」が浮上している。アカウント復旧プロセスとは、ユーザーがパスワードを忘れたり、認証デバイスを紛失したりした場合に、本人であることを確認してアカウントへのアクセスを回復させるための手続きを指す。これは、ユーザーが何らかの理由でアカウントにログインできなくなった際に、自身のアカウントへのアクセスを失わないようにするための重要な機能である。

具体的な復旧方法としては、事前に登録しておいた予備のメールアドレスや電話番号にリセットリンクを送ってもらったり、秘密の質問に答えたりする方法が一般的だ。また、これらの自己復旧手段が利用できない場合や、より複雑な問題が発生した場合には、サービス提供者の「サポートデスク」や「ヘルプデスク」に直接連絡し、担当者による本人確認を経てアカウントの復旧や認証情報の変更を行ってもらうこともある。MFAが直接的に破られることは稀だが、攻撃者はこのアカウント復旧プロセス、特に人間が介在するサポートデスク経由の復旧を狙い、正当なMFA設定を迂回してアカウントを乗っ取ろうとする。

攻撃者は、このアカウント復旧プロセスを悪用するために「ソーシャルエンジニアリング」という手法を用いることが多い。ソーシャルエンジニアリングとは、コンピュータシステムの技術的な脆弱性を突くのではなく、人間の心理的な隙や信頼を利用して情報を騙し取ったり、不正な操作を行わせたりする手法である。攻撃者はまず、ターゲットとなるユーザーに関する情報を可能な限り収集する。これは公開されているSNSの情報、過去のデータ漏洩で流出した情報、あるいはフィッシング詐欺によって得られた断片的な情報などが含まれる。

次に、攻撃者はこれらの情報を用いて、あたかも本物のユーザーであるかのように装い、サービス提供者のサポートデスクに電話やメールで接触する。彼らは、巧妙な話術でサポートデスクの担当者を信じ込ませようとする。例えば、「スマートフォンをなくしてしまって、MFAのコードが受け取れない」「パスワードを完全に忘れてしまった」「新しい電話番号になったので、登録情報を変更してほしい」といった、一見するともっともらしい理由を並べ立てる。そして、事前に収集したユーザー名、生年月日、過去の取引履歴の一部などの情報を提示することで、自分が正当なアカウント所有者であると誤認させようとするのだ。

もしサポートデスクの担当者が、攻撃者を本物のユーザーだと誤認してしまえば、悲惨な結果を招くことになる。担当者は、本来のユーザーに代わって、パスワードのリセットリンクを攻撃者が管理するメールアドレスに送付したり、MFAの設定を解除したり、あるいは攻撃者自身が利用する新しい認証デバイスをアカウントに登録してしまったりする可能性がある。このようにして、MFAによって厳重に保護されているはずのアカウントが、MFAを直接突破することなく、その脇道であるアカウント復旧プロセスを通じて乗っ取られてしまうのだ。これは、まさに多重の鍵で守られた金庫の扉を力ずくで破るのではなく、金庫の鍵を管理している番人を巧みに騙して鍵を開けさせるような手口と言える。

この新たな脅威に対抗するためには、サポートデスクにおける本人確認のプロセスを抜本的に強化することが不可欠である。単に「いくつか質問に答える」といった表面的な確認だけでは、巧妙なソーシャルエンジニアリング攻撃を防ぐことは難しい。より厳格で、多角的な本人確認メカニズムを導入する必要がある。具体的には、事前に登録された複数の連絡先（電話番号、メールアドレスなど）へのクロスチェック、本人しか知り得ない非常に個人的な秘密の質問、あるいは生体認証データとの連携、さらには特別な復旧コードの利用など、複数の認証要素を組み合わせた「多要素的な本人確認」を実施することが求められる。また、サポートデスクの担当者に対するソーシャルエンジニアリング対策のトレーニングを徹底することも重要だ。担当者が不審な要求を見抜く能力を高めることで、攻撃の成功率を下げることができる。

システムエンジニアを目指す皆さんにとって、このようなセキュリティの動向を理解することは非常に重要である。システムを設計し、開発する際には、単に機能が正しく動作することだけでなく、そのシステムがどのように悪用される可能性があるのか、利用者のデータやアクセスがどのようにして守られるのかを常に深く考える必要がある。MFAのような堅牢な認証システムを導入するだけでは十分ではなく、そのシステムを運用する上で発生しうるあらゆるシナリオ、特に人間が介在するプロセスにおけるセキュリティリスクを事前に評価し、それに対する強固な対策を講じることが求められる。アカウント復旧プロセスは、ユーザーの利便性を維持しつつセキュリティを確保するという、トレードオフの関係にあるが、現在の攻撃トレンドを踏まえれば、セキュリティを優先し、不正アクセスを許さないための厳格な本人確認プロセスを構築することが、私たちのデジタル社会を守る上で喫緊の課題となっている。堅牢なシステムと安全な運用プロセスを設計する視点を持つことが、次世代のシステムエンジニアには不可欠だ。