クラウドサービスやWebアプリケーションの利用拡大に伴い、セキュリティ対策として「多要素認証（MFA）」を導入する企業が増えています。

一方で、多要素認証の普及に合わせて、プッシュ通知型の認証を悪用する「多要素認証（MFA）疲労攻撃」と呼ばれる新たなサイバー攻撃が登場しています。

多要素認証疲労攻撃は、プッシュ通知の仕組みと人間の心理を悪用し、利用者に誤って認証を承認させる攻撃です。

攻撃が成功すると、不正アクセスやマルウェア感染、情報漏洩などの被害につながる恐れがあります。

本記事では、多要素認証疲労攻撃の概要や攻撃の仕組み、攻撃が成功する理由、そして有効な対策についてわかりやすく解説します。

「多要素認証疲労攻撃とはどのような攻撃なのか」「どのような対策が有効なのか」を知りたい方は、ぜひ最後までご覧ください。

多要素認証（MFA）疲労攻撃とは

多要素認証（MFA）疲労攻撃とは、攻撃者があらかじめ入手したID・パスワードを使ってログインを繰り返し試み、正規ユーザーに多要素認証のプッシュ通知を何度も送りつけるサイバー攻撃です。

プッシュ通知型の多要素認証では、ログインが試行されると、登録済みのスマートフォンなどに「このログインを承認しますか」といった認証通知が届きます。

攻撃者は、この仕組みを悪用し、短時間に何度も認証通知を送信します。

短時間に何度も通知を送ることで、ユーザーに「通知を止めたい」「何度も届くのはシステムの不具合ではないか」と思わせ、内容を十分に確認しないまま認証を承認するよう誘導します。

利用者が誤って認証を承認すると、攻撃者は多要素認証を突破し、アカウントへ不正にログインできる可能性があります。

このように、多要素認証はセキュリティ対策として非常に有効ですが、プッシュ通知型の認証では、その仕組みや人間の心理を悪用した攻撃が成立する場合があります。

そのため、適切な運用や、フィッシング耐性を備えた認証方式の導入を検討することが重要です。

多要素認証とは

多要素認証（Multi-Factor Authentication：MFA）とは、システムやサービスへログインする際に、異なる種類の認証要素を2つ以上組み合わせて本人確認を行う認証方式です。

認証要素は、主に以下の3つに分類されます。

多要素認証の代表例としては、「パスワードを入力した後にスマートフォンアプリへ表示された認証コードを入力する」「ATMでキャッシュカードを挿入し、暗証番号を入力して現金を引き出す」といったケースが挙げられます。

従来は、IDとパスワードだけを用いた認証が広く利用されていました。

しかし、近年はパスワードリスト攻撃やフィッシングなどのサイバー攻撃が増加・高度化しており、パスワードだけでは十分なセキュリティを確保することが難しくなっています。

そのため、現在では2つ以上の認証要素を組み合わせる多要素認証の導入が広く進められています。

多要素認証であれば、万が一パスワードやIDが漏洩しても、アカウントの乗っ取りや不正アクセスのリスクを最小限に抑えることが可能となります。

多要素認証疲労攻撃の仕組み

多要素認証疲労攻撃は、通常以下の流れで実行されます。

詳しく確認していきましょう。

手順（1）：ID・パスワードなどの認証情報を窃取する

まず攻撃者は、標的となるユーザーのID・パスワードなどの認証情報を入手します。

認証情報の入手経路の例としては、以下が挙げられます。

なお、多要素認証疲労攻撃は、攻撃者がすでに認証情報を入手していることを前提とした攻撃です。そのため、多要素認証を突破する手段として実行されます。

手順（2）：多要素認証のリクエストを大量に送信する

攻撃者は、入手したID・パスワードを使用して、標的のアカウントへのログインを試みます。

ログイン時に多要素認証が設定されている場合、登録済みのスマートフォンやタブレットなどのデバイスへ認証通知（プッシュ通知）が送信されます。

攻撃者はログインを何度も繰り返し試みることで、ユーザーに認証通知を執拗に送り続けます。

手順（3）：ユーザーに認証を誤って承認させる

認証通知が短時間に何度も届くことで、ユーザーは「通知を止めたい」「システムの不具合ではないか」と考え、通知内容を十分に確認しないまま誤って「承認」を押してしまう場合があります。

攻撃者は、このような人間の心理や判断ミスを巧みに悪用し、認証を承認させようとします。

手順（4）：対象アカウントへ不正アクセスする

ユーザーが認証を誤って承認すると、攻撃者は認証を完了させ、標的のアカウントへ不正にログインできるようになります。

その後、機密情報の窃取やメールアカウントの乗っ取り、社内システムへの侵入、さらなるサイバー攻撃の足がかりとして悪用される可能性があります。

このように、多要素認証疲労攻撃は、高度な技術的脆弱性を悪用するのではなく、人間の心理や行動を巧みに利用して認証を突破するソーシャルエンジニアリングの一種です。

多要素認証疲労攻撃が成功する理由

多要素認証疲労攻撃が成功する主な理由として、以下の3つが挙げられます。

それぞれの理由について、詳しく見ていきましょう。

プッシュ通知型MFAの仕組みが悪用されるため

プッシュ通知型の多要素認証は、登録済みのスマートフォンなどに届く認証通知を承認するだけで認証を完了できるため、利便性の高い認証方式として広く利用されています。

一方で、その利便性の高さから、ユーザーが認証通知の内容を十分に確認しないまま承認したり、誤って承認したりする可能性もあります。

また、攻撃者はログインを繰り返し試みることで認証通知を何度でも発生させることができるため、この仕組み自体が多要素認証疲労攻撃に悪用される要因となっています。

繰り返し届く通知がユーザーの心理的負担を高めるため

攻撃者が短時間に何度もログインを試みると、ユーザーの登録済みデバイスに認証通知が繰り返し届きます。

これにより、ユーザーは強いストレスや煩わしさを感じ、注意力や判断力が低下する可能性があります。

その結果、本来は拒否すべき認証通知であるにもかかわらず、「通知を止めたい」「システムの誤作動だと思った」といった理由から、誤って承認してしまう場合があります。

攻撃者は、このような心理状態を意図的に作り出し、ユーザーの誤承認によって不正アクセスを成功させようとします。

ソーシャルエンジニアリングと組み合わせて実行される場合があるため

多要素認証疲労攻撃では、電話やメールなどを用いたソーシャルエンジニアリングを組み合わせることで、ユーザーに認証を承認させようとする場合があります。

例えば、攻撃者がIT管理者やヘルプデスクの担当者を装い、電話やメール、SMSなどを通じてユーザーに接触するケースです。

攻撃者は、「システムメンテナンスのため、届いた認証通知を承認してください」「アカウントの不具合を確認するため、認証を許可してください」などともっともらしい説明を行い、正規の依頼であると信じ込ませて認証を承認させようとします。

多要素認証疲労攻撃の被害事例

ここでは、実際に海外で発生した多要素認証疲労攻撃の被害事例を紹介します。

2022年、配車サービスやデリバリーサービスを手掛ける企業の従業員が多要素認証疲労攻撃を受け、社内システムに不正アクセスされる事件がありました。

攻撃者は、あらかじめダークウェブで入手した当該企業のVPNの認証情報を利用して、繰り返しログインを試みました。

その結果、外注スタッフの登録済みデバイスには二段階認証の承認通知が繰り返し送信されることとなりました。

さらに、攻撃者はITサポート担当者を装ってメッセージアプリで外注スタッフに接触し、「通知を止めるためには認証を承認する必要がある」などと説明して、認証通知の承認を促しました。

外注スタッフは、最初は認証を拒否していたものの、最終的には認証通知を承認してしまい、攻撃者による不正ログインを許しました。

その後、攻撃者は社内ネットワークへのアクセス権を取得し、社内チャットツールやクラウド環境、ソースコード管理システムなど、複数の重要システムへアクセスしたことが明らかになっています。

多要素認証疲労攻撃への対策

ここまで確認してきた通り、多要素認証疲労攻撃は、認証システムの技術的な脆弱性を直接悪用するのではなく、繰り返し届く認証通知によってユーザーの心理に働きかけ、誤って認証を承認させる攻撃です。

そのため、被害を防ぐには、認証方式の見直しに加え、システム面と人的側面の両方から対策を講じる必要があります。

主な対策として、以下の5つが挙げられます。

それぞれの対策について、詳しく見ていきましょう。

Number Matchingの導入

プッシュ通知型の多要素認証では、認証通知を承認するだけで認証が完了します。

そのため、ユーザーが認証通知の内容を十分に確認しないまま、誤って承認してしまう恐れがあります。

このような課題への対策として有効なのが、Number Matchingです。

Number Matchingでは、ログイン画面とスマートフォンに表示される番号を照合し、一致を確認して初めて認証が完了します。

例えば、ログイン画面に「37」が表示された場合、スマートフォン側で「37」を入力する、またはいくつかの選択肢の中から「37」を選択することで認証が完了します。

このように番号を照合するプロセスが加わることで、認証要求が自身の操作によるものかを確認できます。

その結果、攻撃者がログインを繰り返し試みて認証通知を大量に発生させた場合でも、誤って認証を承認してしまう恐れを大幅に低減できます。

パスキーの導入

多要素認証疲労攻撃は、攻撃者があらかじめID・パスワードなどの認証情報を入手していることを前提とした攻撃です。

そのため、パスワードを利用しないパスワードレス認証を採用することで、パスワードの窃取を起点とする攻撃を成立しにくくできます。

代表的なパスワードレス認証として、「パスキー」があります。

パスキーとは、FIDO2規格に基づくパスワードレス認証方式で、デバイスに保存された秘密鍵（パスキー）を利用して認証を行い、利用時には生体認証やPINによって本人確認を行います。そのため、パスワードを入力する必要がありません。

また、パスキーはWebサイトやサービスごとに認証情報が紐づく仕組みのため、フィッシング耐性が高く、多要素認証疲労攻撃への有効な対策として注目されています。

パスキーはさまざまな方法で利用でき、代表的なものとして以下が挙げられます。

パスキーを利用する際は、Face IDやTouch ID、Windows Helloなどの生体認証やPINを用いて本人確認を行います。

特に機密情報を扱う企業や重要システムでは、パスキーの導入を検討することで、不正アクセスのリスクを大幅に低減できます。

リスクベース認証の活用

リスクベース認証とは、アクセスごとのリスクを評価し、その結果に応じて認証方法を変更するセキュリティ手法です。

リスクは、主に以下のような情報をもとに判断されます。

例えば、通常は日本国内からアクセスしているアカウントに対して、突然海外からログインが試行された場合、追加認証を要求したり、ログイン自体をブロックしたりできます。

これにより、攻撃者が認証情報を入手していたとしても、不審なアクセスとして検知し、不正アクセスを未然に防げる可能性が高まります。

一方で、リスクベース認証は、利用環境に応じた認証ルールの設計や継続的な運用が求められるため、自社で導入・運用するには負担が大きくなる場合があります。

ログイン試行回数の制限

多要素認証疲労攻撃では、攻撃者が短時間に何度もログインを試みることで、大量の認証通知を発生させます。

そのため、一定回数以上のログイン試行や認証失敗が発生した場合に、アカウントを一時的にロックしたり、一定時間ログインを制限したりすることで、攻撃を継続しにくくできます。

また、短時間に大量の認証要求やログイン試行が発生した際に管理者へ通知する仕組みを整備しておくことで、攻撃の早期発見や迅速な対応にもつながります。

従業員への情報セキュリティ教育の実施

多要素認証疲労攻撃は、人間の心理的な隙を悪用するソーシャルエンジニアリングの一種です。

そのため、技術的な対策だけでなく、従業員へのセキュリティ教育も欠かせません。

従業員には、多要素認証疲労攻撃の手口を周知したうえで、「身に覚えのない認証通知は絶対に承認しない」「大量の認証通知が届いた場合は速やかに情報システム部門へ報告する」といった基本的な対応を徹底する必要があります。

また、定期的なセキュリティ研修や模擬訓練を実施することで、従業員のセキュリティ意識が高まり、多要素認証疲労攻撃をはじめとするソーシャルエンジニアリングへの対応力の向上も期待できます。

IDaaSが多要素認証疲労攻撃への対策に有効な理由

プッシュ通知型の多要素認証は利便性が高い一方で、多要素認証疲労攻撃のような人間の心理を悪用した攻撃への対策も求められます。

そのため近年では、本記事で紹介したパスキー（FIDO2）やリスクベース認証など、複数の認証方式やセキュリティ機能を組み合わせて運用する企業が増えています。

一方で、利用するクラウドサービスや認証方式が増えるほど、認証基盤やアカウント情報、アクセス権限などの管理は複雑化しやすくなります。

例えば、サービスごとに認証方式やアクセス制御の設定が異なる場合、運用負荷の増加や設定ミスによるセキュリティ上の恐れにつながる可能性があります。

つまり、多様な認証方式やID情報を一元管理し、セキュリティと利便性を両立できる仕組みが重要です。

そこで注目されているのが、「IDaaS（Identity as a Service）」です。

IDaaSとは、クラウド上でIDや認証情報を一元管理し、多要素認証やパスキー、アクセス制御などの認証・アクセス管理機能を統合的に提供するサービスです。

パスキーやリスクベース認証、多要素認証などを一元的に管理できるため、認証基盤全体のセキュリティ強化と運用負荷の軽減を図りながら、多要素認証疲労攻撃をはじめとする不正アクセス対策の強化にもつながります。

複雑なID・認証の運用をシンプルにする「LANSCOPE IDアクセスマネージャー」

多要素認証（MFA）疲労攻撃への対策を強化するためには、パスキーや多要素認証（MFA）、リスクベース認証などを適切に組み合わせて運用することが重要です。

一方で、利用するクラウドサービスが増えるほど、認証方式やアカウント情報、アクセス権限の管理は複雑になりやすく、管理者の負担も大きくなります。

また、リスクベース認証は認証セキュリティを強化できる一方で、認証ルールの設計や継続的なチューニングが必要となるため、運用負荷が高くなりやすく、導入・運用コストが課題となる場合もあります。

そこで本記事では、IDや認証情報を一元管理し、認証・アクセス管理を効率化するIDaaS 「LANSCOPE IDアクセスマネージャー」を紹介します。

本サービスは、パスキー（FIDO2・パスワードレス認証）をはじめ、多様な認証方式に対応しており、利用するユーザーやクラウドサービスごとに認証方式を設定できます。

なお、利用環境やアクセス状況に応じて認証方法を変更できるリスクベース認証にも対応しているため、運用負荷を抑えながら柔軟な運用が可能になります。

さらに、部署やユーザー単位でアクセスルールを細かく設定できるため、サービスごとのセキュリティ要件に応じた認証・アクセス制御が可能です。

全社で利用するクラウドサービスと、一部のユーザーのみが利用する重要なサービスで認証方法やアクセスルールを適切に使い分けられるため、利便性を維持しながらセキュリティを強化できます。

加えて、認証・アクセス管理を一元化することで、運用負荷や設定ミスを抑えながら、多要素認証（MFA）疲労攻撃をはじめとする不正アクセス対策の強化にもつながります。

「LANSCOPE IDアクセスマネージャー」は、年額3,600円／ユーザー（税抜）から利用できます。

認証基盤の見直しやID管理の効率化を検討している場合は、ぜひ導入をご検討ください。

パスワードレス・多要素認証も、
まるっと全部

複雑なID・認証の運用をシンプルにする「LANSCOPE ID アクセスマネージャー」について、特長や活用方法を解説します。

資料をダウンロードする

まとめ

本記事では「多要素認証（MFA）疲労攻撃」をテーマに、その仕組みや被害事例、有効な対策などを解説しました。

プッシュ通知型の多要素認証は利便性が高い一方で、その仕組み上、人間の心理を悪用する「多要素認証疲労攻撃」のような攻撃への対策も欠かせません。

多要素認証疲労攻撃のリスクを低減するためには、パスキーのようなパスワードレス認証やリスクベース認証などを組み合わせ、多層的な対策を講じることが重要です。

一方で、認証方式や利用するクラウドサービスが増えるほど、認証基盤やID管理は複雑化しやすくなります。

そこで有効なのが、認証情報やアクセス権限をクラウド上で一元管理できる「IDaaS」です。

本記事で紹介した「LANSCOPE IDアクセスマネージャー」は、パスキー（FIDO2）や多要素認証（MFA）、アクセス制御などの認証・アクセス管理機能を統合的に提供するIDaaSです。

認証基盤の見直しやID管理の効率化を検討している企業・組織の方は、ぜひ導入をご検討ください。

パスワードレス・多要素認証も、
まるっと全部

複雑なID・認証の運用をシンプルにする「LANSCOPE ID アクセスマネージャー」について、特長や活用方法を解説します。

資料をダウンロードする