近年、サイバー攻撃の増加に伴い、セキュリティ強化策として多要素認証（MFA: Multi-Factor Authentication）が広く採用されています。しかし、多要素認証も、サイバー攻撃者の手口によって突破される可能性があります。
本記事では、多要素認証の概要から体表的な攻撃・対処法・対策を徹底解説します。
すでに多要素認証が突破された恐れがある場合、情報漏洩や不正アクセスが起こる可能性があります。被害を最小限に抑えるために専門業者に相談することをおすすめします。
| 本ページには広告が含まれています。本コンテンツ経由で商品・サービスの申込みがあった場合、企業から送客手数料を受け取ることがあります。 |
多要素認証（MFA）とは？
多要素認証（MFA）とは、「知識要素」「所持要素」「生体要素」など、複数の認証要素を組み合わせて個人を確認する仕組み です。各要素に関する説明は以下になります。
- 知識要素：パスワードやPINコードなど、利用者が「知っている」情報
- 所持要素：スマートフォンやハードウェアトークンなど、利用者が「持っている」もの
- 生体要素：指紋・顔認証など、利用者自身の特徴
多要素認証は単一要素に比べて強固ですが、近年は多要素認証を狙った攻撃も増えています。
代表的な多要素認証への攻撃
多要素認証への代表的な攻撃は以下の通りです。
MFA疲労攻撃
MFA疲労攻撃（多要素認証疲労攻撃）とは、プッシュ通知などの多要素認証（MFA）を悪用した攻撃手法です。
攻撃者はまず、標的利用者のIDやパスワードなどのログイン情報を不正に入手します。次に、利用者の情報を使って何度もログインを試みることで、正規の利用者のスマートフォンなどにMFAの認証リクエスト（プッシュ通知）を大量に送りつけます。
度重なる通知のせいで利用者が煩わしく感じたり、誤って「承認」を押してしまうよう心理的に仕向け、不正アクセスを成功させることを目的とします。
フィッシング詐欺
フィッシング詐欺とは、攻撃者が実在の企業や金融機関、サービスを装って偽のメールやSMSを送り、受信者を本物そっくりの偽サイト（フィッシングサイト）に誘導して、ID・パスワード・クレジットカード番号などの重要な個人情報を盗み取る詐欺手口です。
フィッシング詐欺に関する手口・被害・対策の詳細は以下の記事で説明します。
セッションハイジャック
セッションハイジャックとは、Webサービス利用中の利用者セッションIDを第三者が不正に取得し、なりすましてアクセスする攻撃手法です。たとえば、ログイン後の状態を維持するために発行される「セッションID」が盗まれると、攻撃者は本人と同じ操作が可能になります。
セッションハイジャックの仕組み・対策に関する詳細は以下の記事で説明します。
SIMスワップ攻撃
SIMスワップ詐欺（SIM Swap Scam）は、詐欺師が通信キャリアを欺き、被害者の電話番号を別のSIMカードに移行させることで、不正アクセスを試みる手口です。
SIMスワップ詐欺の手口と対策については以下の記事で解説します。
＞＞SIMスワップ詐欺の手口と対策 – 電話番号を乗っ取られないために
上記のように、攻撃者は多様な手口で多要素認証へ攻撃を仕掛けてきます。多要素認証が攻撃された場合、自力では不十分な対応になる可能性があります。被害を最小限に抑えるためにも、多要素認証が攻撃された疑いがある場合は専門業者に相談してください。
多要素認証へ攻撃を受けた時の対処法
万が一、多要素認証への攻撃を感じた場合には、迅速な対応が被害拡大を防ぎます。有効な対処法は以下の通りです。
絶対に通知を承認しない
見覚えのないMFA通知が届いても決して承認してはいけません。不正ログインの可能性が高く、一度でも承認すればアカウントが乗っ取られます。
- スマホの通知を確認する。
- 内容に心当たりがなければ即座に拒否。
- その後、アカウントのアクティビティログを確認する。
すぐにパスワードを変更する
攻撃の兆候があれば、速やかにパスワードを変更しましょう。特にプッシュ認証が多発した後などは要注意です。
- 別の端末から安全なネットワークに接続する。
- 対象サービスにログインする。
- アカウント設定からパスワード変更を選択。
多要素認証方式を変更する
SMSやプッシュ通知のMFAが狙われた場合、より安全な多要素認証へ移行してください。
- アカウント設定にアクセス。
- 多要素認証設定項目を開く。
- 「セキュリティキー（FIDO2）」や「認証アプリ（例：Authy、Google Authenticator）」に変更。
異常検知やロックアウトを設定
ログイン試行回数や位置情報をもとに自動で遮断する設定を活用しましょう。
- セキュリティ設定から「アカウントの異常検知」を選択。
- 「国外IPからのアクセス制限」や「5回連続失敗時にロック」を有効化。
- メールやSMSによる通知機能もオンに設定。
専門業者に相談する
多要素認証に攻撃をされた場合、適切な対応のためにはログの確認や感染経路の確認が必要です。その場合、フォレンジック調査が必要不可欠です。
フォレンジック調査でできることは以下になります。
- 不審なリモートアクセスのログやマルウェア実行履歴の復元
- 削除・隠蔽されたファイルの復元
- 通信履歴・IPアドレスの追跡による攻撃元の特定
- 漏えいした可能性のあるデータやその範囲の明確化
フォレンジック調査では、パソコンやネットワークの使用履歴、アクセスログ、不審なファイルの痕跡などを専用ツールで解析し、情報漏えいの有無や被害の全容を明らかにします。調査結果は、企業内の対応指針や法的手続きにおいても非常に重要な役割を果たします。
適切な対応で、被害を最小限に抑えるためには専門のフォレンジック調査会社に相談しましょう。
編集部おすすめ調査会社：デジタルデータフォレンジック(おすすめ度)
情報漏洩やサイバー攻撃といった、幅広いインシデントに対してフォレンジック調査を行っている専門会社をご紹介します。
こちらの業者は、相談件数が39,000件を超え、民間の調査会社でありながら官公庁や大手企業との取引実績も多く信頼できるため、幅広い調査に対応していておすすめです。もちろん法人だけでなく、個人のハッキングやサポート詐欺調査などの相談も受け付けています。
まずは無料で相談・見積りまで行ってくれるようなので、不安な方は一度相談してみるとよいでしょう。
| 費用 | ★見積り無料 まずはご相談ください |
|---|---|
| 調査対象 | PC、スマートフォン、サーバ、外付けHDD、USBメモリ、SDカード、タブレット など |
| サービス | 情報漏洩調査、ハッキング・不正アクセス調査、マルウェア・ランサムウェア感染調査、サイバー攻撃被害調査、退職者調査、労働問題調査、社内不正調査、情報持出し調査、横領着服調査、パスワード解除、データ改ざん調査、データ復元、デジタル遺品、離婚問題・浮気調査 など |
| 特長 | ✓累積ご相談件数39,451件以上 ✓国際基準をクリアした厳重なセキュリティ体制（ISO認証、プライバシーマーク取得済） ✓警視庁からの捜査協力依頼・感謝状受領の実績多数 |
デジタルデータフォレンジックは、国内トップクラスの調査力を有しており、累計3万9千件以上の豊富な実績があります。
規模が大きな調査会社でありながら、個人端末のハッキング調査、不正アクセス調査などの実績もあるようですし、24時間365日の相談体制、ニーズに合わせたプランのカスタマイズなど、サービスの利用しやすさも嬉しいポイントです。
ハッキング調査以外にも幅広い調査に対応しているだけでなく、ケースごとに専門チームが調査対応を行っているとのことで、高品質な調査が期待できます。さらに、警察への捜査協力も行っているなど、信頼がおける専門業者です
相談・見積りを“無料“で行っているので、まずは電話かメールで問合せをしてみることをおすすめします。
多要素認証への対策は？
被害を未然に防ぐために、日常から以下のような対策を徹底しましょう。
多要素認証方式の見直し
SMSベースの認証は、SIMスワップ攻撃やメッセージ傍受といったリスクがあるため、できるだけ避けるべきです。
より強固なセキュリティを確保するためには、物理キー（セキュリティキー）や認証アプリ（Google AuthenticatorやMicrosoft Authenticatorなど）に移行するのが望ましく、不正アクセスを防ぐ効果が格段に高まります。
異常検知・制限の導入
システムが通常と異なる挙動（認証リクエストの連続、異常な頻度や場所からのアクセスなど）を自動的に検知し、アラートやブロックなどの制限をかける仕組みです。
たとえば、同一利用者やデバイスに対して短時間に大量の認証リクエストが発生した場合は、リクエストを自動でブロックしたり、管理者やユーザーに即時通知して被害を早期発見できる体制を整えます。
企業でのセキュリティ教育
多要素認証の利用方法を説明するだけでなく、攻撃手法や被害の実例に基づき、「なぜ多要素認証が必要で、どんな場面で注意が必要か」を従業員に理解させることが重要です。
具体的には、多要素認証疲労攻撃やフィッシング詐欺などの脅威について事例を交えて説明し、「見覚えのない認証通知には絶対に承認しない」「ログイン時は正規サイトであることを必ず確認する」などの行動指針を定着させることが重要です。
まとめ
多要素認証は、単一パスワードと比べて格段に安全ですが、攻撃対象になることも忘れてはなりません。
特に、以下のような姿勢が重要です。
- プッシュ通知の乱発には絶対に応じない
- MFA方式を最新・安全なものへ見直す
- 異常な挙動には即座に反応・通報する
- フォレンジック調査による事後対応も選択肢に含める
「MFAを導入しているから安心」と考えず、日々進化する攻撃手法に備える継続的な対策が求められます。また、すでに多要素認証への攻撃で被害の恐れがある場合は専門業者に相談して適切な対応を行いましょう。