多要素認証（MFA）を標的とするサイバー攻撃の手法と中小企業が取るべき防御策
多要素認証（MFA）は万能ではない？巧妙化するサイバー攻撃への理解
多要素認証（MFA）は、デジタル資産を守る上で非常に強力な手段であり、多くの企業で導入が進んでいます。パスワードによる認証だけに頼るよりも、はるかにセキュリティレベルを高めることができます。しかしながら、サイバー攻撃者は常に新しい手法を開発しており、MFAが設定されたアカウントを標的とする攻撃も確認されています。
中小企業においても、主要なSaaSサービスの利用が不可欠となり、それらに対するMFA設定は喫緊の課題です。加えて、MFAを設定したからといって完全に安心できるわけではなく、攻撃手法を理解し、適切な対策を講じることが重要になります。本記事では、MFAを標的とする主なサイバー攻撃の手法を解説し、中小企業がこれらの脅威から身を守るための実践的な防御策をご紹介します。
MFAを標的とする主なサイバー攻撃手法
MFAは認証プロセスに複数の要素を要求することでセキュリティを高めますが、攻撃者は様々な方法でこの多重防御を突破しようと試みます。代表的な攻撃手法をいくつか見ていきましょう。
1. フィッシングによる認証情報とMFA要素の窃取
最も古典的でありながら、未だに有効な手法です。攻撃者は正規のサービスを装った偽のログインページを作成し、ユーザー名とパスワードだけでなく、MFAコード（ワンタイムパスワードなど）も同時に要求して窃取します。
- 手口の例:
- 「アカウント情報が漏洩しました」といった緊急性を装ったメールやSMSを送り、偽のログインページへ誘導する。
- ユーザーが偽ページで認証情報を入力すると、即座に正規サービスでログイン試行を行い、届いたMFAコードの入力を偽ページで促す。
- 入力されたMFAコードをリアルタイムで利用し、正規サービスへのログインを完了させる。
2. SIMスワップ攻撃
標的の電話番号を攻撃者自身のSIMカードに不正に移転させる手法です。これにより、SMSによるワンタイムパスワード（OTP）を攻撃者が受け取ることができるようになります。
- 手口の例:
- ソーシャルエンジニアリングや個人情報窃取により、標的の個人情報を収集する。
- 携帯キャリアの正規手続きや、従業員へのなりすまし、または内部犯行などにより、標的の電話番号のSIMカードを攻撃者のものに切り替える。
- 標的のアカウントへのログインを試行し、SMSで送信されるMFAコードを攻撃者のSIMカードで受信し利用する。
3. MFA疲労攻撃（MFA Fatigue Attack）
標的のユーザーに対して、短時間のうちにMFAの認証要求（特にプッシュ通知）を大量に送りつけ、ユーザーを疲弊させ、誤って承認させてしまうことを狙った攻撃です。
- 手口の例:
- 窃取したユーザー名とパスワードを使用して、標的のアカウントに繰り返しログイン試行を行う。
- ログイン試行のたびに、ユーザーのスマートフォンにMFA認証アプリからの承認要求がプッシュ通知される。
- 通知の多さにうんざりしたユーザーが、意図せず承認ボタンを押してしまうことを期待する。
4. セッションハイジャック（MFA後のセッション奪取）
ユーザーがMFAを通過して正規にログインした後、そのセッション情報を攻撃者が奪い取り、MFAを再要求されることなくアカウントにアクセスする手法です。
- 手口の例:
- マルウェアなどを用いてユーザーのブラウザからセッションクッキーを窃取する。
- 窃取したセッションクッキーを使用し、ユーザーとしてサービスにアクセスする。
5. 認証情報の窃取後にMFA設定を変更する手法
高度な手法として、システム管理者の認証情報（パスワードなど）を窃取した後、正規のログインを経てMFA設定を無効化したり、攻撃者自身のMFA要素を追加・登録したりするケースも存在します。
- 手口の例:
- 管理者の認証情報を窃取する（フィッシング、キーロガー、パスワードリスト攻撃など）。
- 正規ログイン後、管理機能を利用して、標的ユーザーのMFA設定をリセットしたり、攻撃者のMFA要素を追加したりする。
中小企業が取るべき実践的な防御策
これらの巧妙な攻撃手法に対して、中小企業はどのように対策を講じるべきでしょうか。MFAの導入・設定に加え、以下の点を考慮することが重要です。
1. 従業員への継続的なセキュリティ教育
攻撃の多くは、人間の心理的な隙を突くソーシャルエンジニアリングと組み合わされています。従業員一人ひとりがセキュリティ意識を高めることが、最も基本的な防御策です。
- フィッシング詐欺の手口（不審なメールやSMS、偽サイトの見分け方）を周知徹底する。
- MFAのプッシュ通知やOTPが身に覚えのないタイミングで届いた場合の対応を教育する（安易に承認しない、速やかに管理者に報告するなど）。
- 個人情報の取り扱いについて注意を促す（SNSでの情報公開範囲の見直しなど）。
2. SMS認証以外のMFA要素の推奨
SMSによるOTPはSIMスワップ攻撃のリスクが伴います。可能であれば、よりセキュリティ強度の高い認証方法を推奨、または強制することが望ましいです。
- 認証アプリ（TOTP）: Google Authenticator, Microsoft Authenticatorなど。コードは一定時間で変更され、SIMスワップの影響を受けにくい。
- セキュリティキー（FIDO/WebAuthn）: YubiKey, Titan Security Keyなど。物理的なデバイスによる認証で、フィッシングやSIMスワップに対して高い耐性を持つ最も推奨される方法。
- 生体認証: デバイスに搭載された指紋認証や顔認証を利用する。
従業員が利用するSaaSサービスの機能や、企業のITポリシーに合わせて、複数の選択肢を提供しつつ、推奨されるMFA要素への移行を促してください。特に、管理アカウントや機密情報にアクセスするアカウントには、セキュリティキーの使用を強く推奨すべきです。
3. 適応型MFAの検討
リスクレベルに応じて認証強度を自動的に調整する適応型MFAは、MFA疲労攻撃対策として有効です。例えば、普段利用しない場所からのアクセスや、普段利用しないデバイスからのアクセスに対してのみMFAを要求するといった設定が可能です。多くのIDaaS（Identity as a Service）や主要なSaaSサービスがこの機能を提供しています。
4. セッション管理の強化
セッションハイジャックを防ぐためには、セッション管理を適切に行うことが重要です。
- 通信経路を常にHTTPS化する。
- 長時間のセッション保持を避け、一定時間操作がない場合は自動的にログアウトさせる（アイドルタイムアウト）。
- 重要な操作（パスワード変更、MFA設定変更など）の際に、追加の認証を要求する仕組みを導入する。
5. 厳格な管理者権限管理とセキュリティログの監視
MFA設定の変更や無効化といった操作は、管理者権限を持つアカウントから行われるリスクがあります。
- 最小権限の原則に基づき、必要最低限のユーザーにのみ管理者権限を付与する。
- 管理者アカウントには、最も強力なMFA（セキュリティキーなど）を必須とする。
- アカウントのロックアウト、パスワードリセット、MFA設定変更など、セキュリティに関連するイベントのログを継続的に監視する体制を構築する。異常なアクティビティを早期に検知することが重要です。
まとめ
多要素認証（MFA）は、現代のサイバー脅威に対する強力な防衛線ですが、攻撃者もその突破方法を常に模索しています。フィッシング、SIMスワップ、MFA疲労攻撃など、様々な手口でMFAを回避しようとする攻撃が存在します。
中小企業のシステム担当者は、単にMFAを導入・設定するだけでなく、これらの攻撃手法を理解し、多層的な防御策を講じる必要があります。従業員への継続的なセキュリティ教育、SMS認証以外のより強固なMFA要素の推奨、適応型MFAの活用、セッション管理の強化、そして厳格な管理者権限管理とログ監視は、デジタル資産を安全に保つために不可欠な対策です。
セキュリティ対策は一度行えば終わりではなく、継続的な見直しと改善が必要です。常に最新の脅威動向に注意を払い、組織全体のセキュリティレベル向上に努めてください。