多要素認証（MFA） は、サイバーセキュリティにおいてもはや必須の要件となりつつあります。サイバー保険会社 はこれを義務付けており、企業のセキュリティ管理者 は、これへの投資を増やす計画です。また、MFAはユーザーにとって煩わしい場合もありますが、ほとんどのユーザーは 、これがアカウントの保護に役立つことを認識しています。 実際、マイクロソフトによると、2段階認証は の攻撃の 99.9％以上を阻止できるとのことです（ ）。また、Googleは成功率を76％から 100％と推定しています。
では、気に入らない点などあるでしょうか？
さて、ほとんどのセキュリティ対策と同様に、ハッカーたちはMFAを回避するための巧妙な手段をますます見つけ出しています。
「ハッカーは常に手口を変えてくるものです。私は、多要素認証（MFA）が――たとえ長期的に見ても――多くの人が信じているような万能薬になるとは、まだ確信が持てません」と、 のセキュリティ意識向上トレーニングを提供する KnowBe4社のサイバー防衛アナリスト、ロジャー・グライムズ氏は述べています（）。 「MFAは、誰のハッキング問題も解決してくれる、極めて安全なソリューションとして売り込まれています……しかし、それはまったくの事実無根です。」
明確にしておきますと、グライムズ氏のような専門家は、MFA（ユーザー名とパスワードに加え、ユーザーのデバイスに送信される一時的なコードやキーの入力を必要とする認証方式）が依然として最も効果的な認証手法の一つであり、 のエンドポイントセキュリティ戦略 には必ず組み込むべきであると述べています。 また、「 FIDO2」（ ）と呼ばれるフレームワークに基づく新しい形式のMFAでは、暗号化されたログイン認証情報を使用することで、フィッシング攻撃、 パスワード盗難、およびリプレイ攻撃のリスクを最小限に抑えています。 さらに、このフレームワークにより、指紋認証装置、カメラ、セキュリティキーといった革新的な技術も、プロセスの一環として活用できるようになります。
しかし、多くの組織では依然として、SMS（ショートメッセージサービス、いわゆるテキストメッセージ）に基づく旧来の手法に依存しており、ハッカーたちはこうしたシステムを標的にし、成功率を高めています。
彼らは、ソーシャルエンジニアリングや、ユーザーへのワンタイムコードの送信方法に存在する欠陥を悪用すること、さらには休眠中のマイクロソフトアカウントを利用して公的ネットワークやプライベートネットワークへのアクセス権を取得することなど、いくつかの手法を用いてこれを行っています。
MFAがソーシャルエンジニアリングに陥る仕組み
よく見られる手口の一つに、「 」と呼ばれるMFA疲労攻撃があります。。 「MFA爆撃」とも呼ばれるこの攻撃手法では、攻撃者がエンドユーザーの端末に対し、ログイン試行の承認を求めるプロンプトを繰り返し送りつけます。 基本的には、相手の不意を突くか、認証リクエストを承認する必要があると思わせるように仕向けることで、この手口は機能します。
「従業員は、MFA認証の要求に対して、あたかも誰かが玄関先に来てクレジットカード情報を尋ねてくるかのように、より一層の警戒心を持って対応する必要があります。」クリス・プリウィット氏、 Inversion6社 CISO
昨年9月、悪名高いハッカー集団「Lapsus$」が、MFAボミングの手法を用いて、ライドシェアアプリ「Uber」のシステムに侵入しました。 Uberによると、サイバー犯罪者たちは外部の請負業者から のVPN（ ）の認証情報を入手し、おそらくダークウェブで購入したものとみられ、その後、から を通じて、当該ユーザーのUberアカウントへのログインを繰り返し試みたとのことです。 そのたびに、請負業者は二要素認証によるログイン承認リクエストを受け取り、当初はアクセスがブロックされました。 しかし、結局のところ、請負業者がそのうちの1つを受け入れたため、攻撃者はログインすることができたと、Uberは述べています。 その後、攻撃者は他の従業員のアカウントにアクセスし、G-SuiteやSlackを含むいくつかのツールに対して特権アクセス権を取得しました。
攻撃者は全社向けのSlackチャンネルにメッセージを投稿することに成功しましたが、Uberは、攻撃者が顧客の個人データにアクセスしたり、ソースコードを変更したりしたとは考えていないと述べています。
とBeyond Identityが共同で実施した最近の調査（）によると、回答者の 62％がMFAボミングの被害に遭ったと回答しており、 10 人に1人近くが、こうした攻撃によってロックされたアカウントへのアクセスを回復できなかったと答えています。 同報告書によると、この手口による被害が最も多かったMFAアカウントの種類の上位5つは、銀行（62％）、Facebook（45％）、Instagram（39％）、仮想通貨（36％）、Twitter（34％）でした。
MFA疲労攻撃を和らげる3 の方法
MFA攻撃が成功する可能性を低減するため、専門家は以下の対策を推奨しています：
1. MFAパラメータを厳格化してください： BeyondTrustでは、 以下の方法により、MFA認証プロセスの設定 を最適化することを推奨しています。具体的には、各認証要素間の時間間隔を短縮すること、一定期間内に許容される認証失敗回数を制限すること、位置情報や生体認証の要件を追加すること、アクセスに必要な認証要素の数を増やすこと、および過剰なログイン試行をセキュリティアナリストに通知することです。 他の専門家たちは、MFAリクエストのプッシュ通知を制限するか、無効にすることを提案しています。
[関連記事：MFAには欠点もあるかもしれませんが、それでもパスワードよりはましです。ビル・ゲイツ氏は約 20 年前に、パスワードの危険性について警告していました]
2。 スタッフの研修を実施しましょう： Inversion6社のCISOであるクリス・プリウィット氏は、MFA疲労攻撃の手口やその対処法についてスタッフが確実に理解できるよう、継続的な研修の実施を推奨しています。
「従業員は、MFA認証の要求に対して、より一層の警戒心を持って対応する必要があります」と彼は述べています。 「もし誰かが玄関先に来て、クレジットカード情報を尋ねてきたとしても、ほとんどの人はそれを教えないでしょう。」 「しかし、ネット上では、本来クリックすべきではないものや、共有すべきではない情報を、ついクリックして共有してしまう傾向がやや強いようですが、この点は改善する必要があります。」
3。 最小権限の原則を徹底する： もう一つの対策として、個人、アカウント、およびマシンに対するアクセス権限を、そのユーザーに必要な範囲のみに制限することが挙げられます。 このようにして、MFAを悪用した攻撃では、アカウントやデータへの広範なアクセス権を獲得することが困難になります。 彼らは基本的に、入国地点付近で阻止されています。
SMSの脆弱性を悪用したMFA攻撃
ハッカーがMFAを回避するもう一つの方法は、SMSによるワンタイムコードの仕組みそのものを出し抜くことです。
「セキュリティ対策が不十分な場合、それが解決策になることはありません。」SANSインスティテュートの新興セキュリティ動向担当ディレクター、ジョン・ペスカトーレ氏
多くの専門家は、MFAの2つ目の認証要素をSMS認証に依存させることは、それほど安全ではないという点で意見が一致しています。というのも、ハッカーはスプーフィングやフィッシングを巧みに利用して、SMSメッセージを傍受・読み取るのが非常に得意だからです。 また、彼らは「 」と呼ばれるソーシャルエンジニアリングの手口を用いたSIMスワッピング（）も行っています。この手口では、まずあなたの個人情報を入手し、携帯電話会社に連絡して、携帯電話の紛失や盗難といった偽の話を持ち出し、あなたの旧番号を、彼らが管理する新しい携帯電話に番号ポータビリティで移行させるよう説得します。 これが完了すると、MFAコードを含むSMSメッセージを傍受できるようになります。 「SMSスミッシング」と呼ばれる手口もあり、これはテキストメッセージを介して行われるフィッシング攻撃です。
グライムズ氏は、一部のMFAソリューションがフィッシングやスミッシングの攻撃に対する防御力を高めていることに言及し、「貴重なデータやシステムを保護するために、可能な限り誰もがフィッシング対策機能を備えたMFAを利用すべきです」と述べています。 しかし、彼は次のように警告しています。「せいぜい、優れたMFAであっても、現在の攻撃の 30％から 50％程度しか防げないでしょう。」
一方、マイクロソフトやその他の業界の主要企業は、企業に対し、電話ベースの多要素認証（MFA）から脱却するよう強く求めています。彼らはこれを「現在利用可能なMFA手法の中で最もセキュリティレベルが低い」と位置づけ、代わりにセキュリティキーや認証アプリの利用を推奨しています。 マイクロソフトは、 において、Microsoft Authenticator アプリから送信される第2要素のコードに数字を追加することで、Windows 11 の二要素認証を強化する計画を発表しました。 この機能は現在もテスト中です。 Twitterも同様に、 有料サービス「Twitter Blue」に加入していないユーザーに対し、 3月20日 以降、ログインコードを記載したテキストメッセージの送信を停止することを通知しました。 同社は、有料会員ではないユーザーに対し、無料の認証アプリやセキュリティキーの利用を推奨しました。
「これは正しい方向への素晴らしい一歩だと思います」と、プリウィット氏は述べています。 「SMSは長い間、攻撃の標的となってきました。」
MFAを利用してMFAを攻撃する？ 休眠口座の乗っ取りについて
ハッカーがMFAを回避する、より巧妙な手口の一つは、休眠中のMicrosoftアカウントを乗っ取ることです。 サイバーセキュリティ企業のマンディアント（Mandiant）によると、同社は最近、 において、ロシアの諜報グループ「 APT29」を含むハッカーたちが、Azure Active Directory やその他のプラットフォームにおける多要素認証（MFA）の自動登録プロセスを悪用する傾向を 確認したとのことです。
ある事例では、 APT29 は、何らかの方法で入手したメールボックスのリストに対して、パスワード推測攻撃を行ったようです。 彼らは、作成されたものの一度も使用されたことのないアカウントのパスワードを、見事に推測することに成功しました。 マンディアント社によると、アカウントが休止状態だったため、Azure ADが APT29 に対し多要素認証（MFA）への登録を促し、登録が完了すると、そのハッカーグループは、認証とMFAにAzure ADを利用していたVPNインフラにアクセスできるようになったとのことです。
[関連記事：ビジネスメール詐欺は、ハッカーが従業員を騙して金銭を送金させるための、もう一つの（ますます収益性の高い）手口です]
このような攻撃に対抗するため、マンディアント社は、すべての有効なアカウントに少なくとも1つの多要素認証（MFA）デバイスが登録されていることを確認し、プラットフォームのベンダーと連携して、MFA登録プロセスに追加の認証手順を導入することを推奨しています。
SANSインスティテュートの新興セキュリティ動向担当ディレクターであるジョン・ペスカトーレ氏は、このような多要素認証（MFA）の迂回攻撃のほとんどには、ある共通点があると述べています。それは、MFAソリューションそのものを直接侵害するのではなく、不適切に実装されたプロセスに依存しているという点です。
「セキュリティ対策は、適切に行われない限り、解決策にはなりません」と彼は言います。 「しかし、MFA（多要素認証） 、権限管理、 、アプリケーション制御 、迅速なパッチ適用 といった強力なセキュリティ対策に加え、熟練したスタッフによる侵入テストの実施により、多くの企業は、業務に支障をきたすことなく、サイバー攻撃による大きな被害を回避することができています。」