多要素認証（MFA）は現代のセキュリティ対策において必須の技術です。しかし、攻撃者たちはその仕組みを逆手に取った巧妙な手法で企業システムに侵入を試みています。
私は現役のCSIRTメンバーとして、日々企業のセキュリティインシデントに対応していますが、最近特に目立つのがMFA攻撃による被害です。「多要素認証を導入したから安心」と考えている企業こそ、実は大きなリスクを抱えているのが現実なのです。
2024年のMFA攻撃実態データが示す衝撃の事実
Okta Japan株式会社の板倉景子リージョナルCSOが発表した2024年のAuth0プラットフォームの実運用データは、現在のサイバー攻撃の実態を赤裸々に示しています。
特に注目すべきは以下の3つの攻撃類型です：
- サインアップ攻撃：登録試行の中央値46.1%が攻撃、ピーク時は92.5%
- ログイン攻撃：悪意のあるログイン試行の中央値16.9%
- MFA悪用攻撃：悪意のあるMFAイベントの中央値7.3%
これらの数字を見て驚かれるかもしれませんが、これが現実なのです。私が担当したある中堅企業のインシデント調査では、1日で3万回を超えるサインアップ攻撃を受けており、システムリソースが枯渇寸前まで追い込まれていました。
小売・Eコマース企業が最も危険な状況
データによると、小売・Eコマース企業への悪意のある登録試行は最大で正規ユーザー数の120倍に達しています。私が関わったあるECサイトの事例では、攻撃者が新規登録ボーナスポイントを狙って大量の偽アカウントを作成し、数百万円相当の損失が発生しました。
MFA攻撃の巧妙な手法とは
1. MFA疲労攻撃（MFA Fatigue Attack）
最も頻繁に見られる攻撃手法です。攻撃者は事前にフィッシングなどでユーザー名とパスワードを入手し、対象システムへ何度もログインを試行します。被害者は大量のMFAプッシュ通知を受け取り、最終的に「うっとうしいから」という理由で承認してしまうのです。
私が調査した案件では、深夜2時から朝6時まで1分おきにプッシュ通知が送られ続け、寝不足で判断力が低下した従業員が誤って承認してしまったケースがありました。
2. リバースプロキシによる中間者攻撃
より高度な手法として、フィッシングページを介したリバースプロキシによる攻撃があります。この攻撃では認証情報とセッションCookieの両方を取得し、MFAを完全に回避してアカウントにアクセスします。
ある金融機関での調査では、正規のログインページと見分けがつかないほど精巧なフィッシングサイトが使われており、被害者は自分が攻撃を受けていることに全く気づいていませんでした。
業界別・規模別のリスク分析
業界別リスク
- 小売・Eコマース：ログイン試行の22.2%が悪意のある行動
- プロフェッショナルサービス：10.8%
- 金融サービス：9.9%
- メディア業界：MFA悪用が20%超で最高
企業規模別リスク
大企業ほど狙われやすく、大企業のサービスへのログイン試行の24.9%が悪意のあるものです。これは大企業ほど価値の高い情報を持っているためですが、中小企業も決して安全ではありません。
中小企業の場合、セキュリティ対策が手薄になりがちで、一度侵入されると甚大な被害を受ける可能性が高いのです。私が担当したある製造業の中小企業では、設計図面や顧客情報が全て暗号化され、身代金を要求されるランサムウェア攻撃を受けました。
AIを活用した攻撃の進化
現在の攻撃者たちはAI技術を積極的に活用しています：
- PassGAN：機械学習を活用したパスワード推測技術
- OpenBullet、SNIPR：安価で利用可能なログイン自動化ツール
- AI搭載CAPTCHA回避ツール：人間の操作を模倣
- 住宅プロキシ選定AI：地理的制限を回避
特に住宅プロキシ（Residential Proxy）を使った攻撃は厄介で、一般家庭のIPアドレスを経由するため、従来のIP制限では防ぐことが困難です。
効果的なMFA攻撃対策
基本原則：「MFAの抜け道を作らない」
最も重要なのは、MFAを導入するなら一貫して適用することです。よくある失敗例として、以下のような「抜け道」があります：
- ログイン時はMFA必須だが、パスワードリセット時は不要
- 管理者アカウントの一部にMFAが適用されていない
- 古いAPI認証にMFAが適用されていない
私が調査したある企業では、メインシステムは厳重にMFAで保護されていたのに、バックアップシステムの管理画面にMFAが適用されておらず、そこから侵入されていました。
多層防御の実装
クラウドインフラ層での対策
- DDoS対策でTCP/UDP層への攻撃を吸収
- ボット管理で異常な挙動をブロック
- レート制限で過剰なアクセスを制御
CIAM層での対策
- 異常なIP・地理的位置・User-Agentに基づくブロック
- テレメトリによる高度なボット検知
- リスクベースのCAPTCHA要求
- 厳格なIP・接続数制御
ある顧客企業では、これらの対策を段階的に導入することで、攻撃成功率を95%削減することができました。
アダプティブMFAの活用
全てのアクセスにMFAを要求すると、ユーザーの利便性が大幅に低下します。そこで有効なのが「アダプティブMFA」です。
この仕組みでは、以下の要素でリスクを判定し、高リスクの場合のみ追加認証を求めます：
- ログイン時刻（深夜や早朝は高リスク）
- 地理的位置（普段と異なる場所からのアクセス）
- デバイス情報（未知のデバイス）
- ネットワーク情報（VPNやTorの使用）
推奨されるセキュリティソリューション
MFA攻撃から企業を守るためには、包括的なセキュリティ対策が必要です。
個人でも企業でも、まず基本となるのは信頼性の高いアンチウイルスソフト
の導入です。最新の脅威インテリジェンスを活用した製品を選ぶことで、未知の攻撃手法にも対応できます。
また、リモートワークが一般的になった現在、VPN
の利用も重要です。特に住宅プロキシを使った攻撃が増加している中で、通信経路の保護は不可欠です。
企業のWebサイトやアプリケーションについては、定期的なWebサイト脆弱性診断サービス
を実施することをお勧めします。攻撃者は常に新しい脆弱性を探しており、定期的なチェックで早期発見・早期対策が可能になります。
パスワードレス認証への移行
根本的な解決策として、パスキーを活用したパスワードレス認証への転換が注目されています。パスワードそのものを廃止することで、パスワードを狙った攻撃を根本的に防ぐことができます。
パスワードの概念は古代・中世の「合言葉」が起源とされていますが、現代のように100以上ものWebサービスを使う時代には、もはや限界があるのかもしれません。
パスワードレス認証のメリット
- フィッシング攻撃に対する根本的な耐性
- パスワード管理の負担軽減
- 生体認証による高いセキュリティレベル
- ユーザーエクスペリエンスの向上
ある先進的な企業では、パスワードレス認証の導入により、セキュリティインシデントが80%削減され、同時にユーザーサポートコストも大幅に削減されました。
まとめ：今すぐ実施すべきアクション
MFA攻撃は今や企業規模に関係なく、あらゆる組織が直面する現実的な脅威です。以下のアクションを今すぐ実施することをお勧めします：
- MFA設定の総点検：抜け道がないか徹底的にチェック
- 従業員教育：MFA疲労攻撃について周知
- アダプティブMFAの導入検討：セキュリティと利便性の両立
- セキュリティソリューションの見直し：最新の脅威に対応できるか確認
- インシデント対応計画の策定：攻撃を受けた場合の対処法を明確化
サイバー攻撃は待ってくれません。今この瞬間にも、あなたの組織が攻撃者の標的になっている可能性があります。適切な対策を講じて、大切なデータと信頼を守りましょう。
