【ITニュース解説】Defending Against MFA Fatigue Attacks and Bypass Techniques

システムエンジニアを目指す上で、デジタルセキュリティは避けて通れない重要なテーマである。その中でも、多要素認証（MFA）は、ユーザー名とパスワードだけでなく、さらに別の認証要素を組み合わせることで、セキュリティを大幅に強化する仕組みとして広く知られている。しかし、MFAを導入したからといって、すべての脅威から完全に守られるわけではない。攻撃者は常に進化しており、MFAの仕組みをすり抜ける巧妙な手口を開発している。

特に警戒すべき攻撃の一つに、「MFA疲労攻撃」がある。これは「プロンプト爆撃」や「MFA爆弾」とも呼ばれ、攻撃者が標的のユーザーに対してMFAの認証要求を繰り返し送りつけることで、ユーザーを疲弊させ、誤って承認させてしまう手口である。例えば、スマートフォンのプッシュ通知や認証アプリからの承認要求、ワンタイムパスワード（OTP）の送付などが立て続けに行われる。これにより、ユーザーは何度も通知が来ることにうんざりし、「とりあえず通知を消したい」という心理から、内容をよく確認せずに「承認」ボタンを押してしまう可能性がある。この攻撃は、パスワードやMFAの仕組みそのものを破るのではなく、人間の心理的な弱点、つまり「決断疲れ」や「煩わしさ」、そして反射的なクリック行動を悪用している点が特徴である。

MFAをすり抜ける手口は、MFA疲労攻撃だけではない。他にも様々なバイパス（迂回）手法が存在する。 一つは「中間者攻撃（AiTM）」と呼ばれる方法だ。これは、攻撃者がユーザーと正規のサービスの間に自身を割り込ませ、ユーザーが入力したログイン情報やMFAの認証トークンをリアルタイムで傍受する手口である。ユーザーは正規のサービスにアクセスしているつもりでも、実際には攻撃者の中継サーバーを経由しているため、情報が盗み取られてしまう。 次に「SIMスワッピング」がある。これは、攻撃者が通信事業者を騙して、ユーザーの電話番号を攻撃者自身のSIMカードに移行させる方法である。電話番号が乗っ取られると、SMSで送られるワンタイムパスワードなどの認証コードが攻撃者の元へ届くようになり、MFAを突破されてしまう。 「フィッシング」も一般的な手法であり、偽のログインページや、企業のIT担当者になりすますなどのソーシャルエンジニアリングによって、ユーザーを欺き、ログイン情報とMFAの認証コードの両方を直接入力させて盗み取る手口である。 また、「セッションハイジャック」や「クッキー盗難」も挙げられる。これは、マルウェアや悪質なスクリプトを使って、すでに認証済みの有効なセッション情報やクッキーを盗み取り、MFAを迂回して直接サービスにアクセスする手口である。 古い認証方式（レガシープロトコル）の利用も問題となることがある。一部のサービスでは、MFAが強制されない古いログイン方式（IMAPやPOPなど）をいまだに許可している場合や、信頼されたネットワークからのアクセスにMFAを適用しないといった設定の誤りがあり、そこを攻撃の足がかりにされる可能性がある。 さらに、セキュリティ対策が不十分なワンタイムパスワードの実装や、短いコード長の場合には、「総当たり攻撃（ブルートフォース）」によって認証コードが推測されてしまうリスクもゼロではない。

これらの事例からわかるように、MFAを導入するだけでは不十分であり、これらのバイパス試行に対してMFAをどのように実装し、適切に管理していくかが非常に重要となる。実際に、MFA疲労攻撃が理論上の脅威ではないことは、いくつかの高名な事例によって示されている。例えば、Uber社では、従業員に対する繰り返し行われたログインプロンプトのスパム攻撃により、一人の従業員が誤って承認してしまい、それが初期アクセスを許す原因となった。また、ハッカー集団Lapsus$がMicrosoft社の従業員に対してMFA疲労攻撃を仕掛け、成功した事例も報告されている。Cisco社も同様の攻撃を受けたことが報告されており、大手企業であっても人間心理を悪用した攻撃には脆弱であることが浮き彫りになっている。

これらの攻撃を早期に検知するためには、組織は特定のパターンや異常な行動に注意を払う必要がある。具体的には、特定のユーザーやグループに対してMFAの要求が突然急増したり、短時間のうちに地理的に不可能な場所からログインが試行されたりするケースが挙げられる。他にも、複数のログイン失敗の後にMFA要求が続く場合や、ユーザーが身に覚えのないMFA通知を受け取ったと報告するケース、見慣れないデバイスやIPアドレスからのMFA試行なども警戒すべき兆候である。このような異常を早期に発見できれば、ユーザーが疲弊して承認してしまう前に、セキュリティチームが対応を開始できる。

MFA疲労攻撃やバイパス攻撃に対する最も効果的な防御策は、複数のセキュリティ対策を組み合わせる「多層防御」戦略である。 まず、「フィッシング耐性のあるMFA」を導入することが推奨される。これは、セキュリティキー（FIDO2やハードウェアトークンといったUSB接続の専用機器など）を使用する方法である。これらは暗号技術に基づいたチャレンジレスポンス方式を利用するため、フィッシングやプッシュ通知のスパム攻撃に対して非常に強い耐性を持つ。また、単に「承認」ボタンを押させるだけでなく、画面に表示された数字をユーザーに入力させる「番号マッチング」や、ログイン時刻や場所などの具体的なコンテキスト情報をユーザーに確認させる方式も有効である。 次に、MFAのプッシュ通知の頻度を制限し、アカウントロックアウトの仕組みを導入することも重要である。例えば、一定時間内にユーザーが受け取れるプッシュ通知の回数を制限したり、MFAの試行に複数回失敗した場合に一時的にアカウントをロックしたりする設定が有効である。さらに、失敗するごとに次の試行までの遅延時間を長くしていく「プログレッシブディレイ」も効果的である。 MFAを迂回する可能性のある脆弱な経路を閉じることも大切である。具体的には、MFAが適用されない古い認証方式を完全に無効化したり、信頼されたデバイスやIPアドレスからのアクセスであっても、リスクが高いと判断される場合には追加の認証を要求する「条件付きアクセス」を強化したりする。信頼されたデバイスについては、定期的に再認証を求める仕組みも必要だ。 認証情報の衛生管理とアクセス制御の強化も欠かせない。強力なパスワードの使用を徹底させ、異なるサービス間でのパスワードの使い回しを禁止する。万が一アカウントが侵害された場合でも被害を最小限に抑えるため、「最小権限の原則」を適用し、必要最低限の権限のみを与えるようにする。また、一定時間操作がない場合にはセッションを自動的に終了させたり、機密性の高い操作を行う際には再認証を求めたりする設定も重要である。 継続的な監視とプロアクティブな対応も不可欠である。MFAの使用状況に異常がないかを常に監視し、自動アラートを設定する。疑わしい行動が検知された場合には、追加の認証を強制したり、一時的にログインを停止したりといった措置を講じる。調査やコンプライアンス遵守のために、詳細なログを保持することも忘れてはならない。 最後に、そして最も重要なのが「ユーザー教育」である。従業員に対して、身に覚えのないMFA要求は決して承認しないよう繰り返し指導する。フィッシングやソーシャルエンジニアリングの具体的な手口について教育し、警戒心を高める必要がある。不審なMFAアクティビティを報告するための明確な窓口を設け、報告を奨励する。定期的に模擬攻撃訓練を実施することで、正しい行動を習慣化させることも効果的である。技術的な対策とユーザーの意識向上が組み合わされることで、ユーザーはセキュリティの弱点ではなく、むしろ強固な防御ラインとなるのだ。

組織がMFAソリューションを導入または評価する際には、いくつかのポイントを考慮すべきである。行動がリスクを伴うと判断された場合に認証のレベルを自動的に引き上げる「適応型認証」機能を持つこと。セキュリティと使いやすさのバランスを考慮し、セキュリティキー、生体認証、プッシュ通知、ワンタイムパスワードなど、複数の認証オプションを提供すること。MFA疲労攻撃を防ぐためのプッシュ通知の頻度制限や、コンテキストに基づいた検証機能が備わっていること。管理者がMFAの状況を包括的に監視できるダッシュボードが提供されていること。そして、アカウント登録や復旧プロセスがスムーズでありながら、アカウント乗っ取りを防ぐための安全策が講じられていることなどが挙げられる。

MFA疲労攻撃は、技術的な脆弱性だけでなく、人間の行動や心理を悪用する攻撃である。攻撃者はプッシュ通知のスパム、フィッシング、SIMスワッピング、セッションハイジャック、古い認証方式の悪用など、様々な手口に依存している。これらの攻撃を検知するには、MFAの異常な利用状況を監視し、ユーザーからの報告に耳を傾けることが不可欠である。防御のためには、フィッシング耐性のあるMFAの導入、プッシュ通知の頻度制限、古い認証方式の無効化、ユーザー教育、そしてリアルタイムでの監視といった多層的な戦略が必要となる。MFAは単なるコンプライアンス要件を満たすだけでなく、進化する脅威に対して堅牢なセキュリティ制御として機能するよう、継続的な努力が求められる。