10/5号 ① 人気ゲーム情報流出に関わった攻撃者、手口は「多要素認証疲れ」

何らかの方法でターゲットとなるユーザーのアカウント情報を奪取した攻撃者が、ユーザー本人に多要素認証(MFA)の承認を求める通知が大量に送信されるよう仕向け、同時にIT担当者になりすました上で、通知を止めたければ認証を承認するよう指示し、本人に承認させることにより、多要素認証を突破したとされており、この手口が「MFA Fatigue(多要素認証疲れ、MFA Bombingとも)」攻撃と呼ばれています。

多要素認証でユーザーに要求されるアクションは、モバイルデバイスに表示されたメッセージに対し「了承」のボタンをタップすることで成立するものから、別経路(メール・SMS・アプリ等)で送信される認証コードの入力を求めるものまで様々ですが、後者の形をとったものでも、ソーシャルエンジニアリングにより攻撃者が認証コードを奪取・入力して不正ログインが行われる恐れは十分に考えられます。

多要素認証といえど、全ての不正ログインを完璧に阻止できる万能な仕組みではありませんが、FIDO/FIDO2による生体認証・パスワードレス認証をはじめとした先進的な仕組みの導入、あるいはユーザー側に対しても、パスワード流出の可能性がある場合は速やかに変更すること、ソーシャルエンジニアリングの手口を周知徹底して慎重に行動するよう教育する等、安全性の向上を可能な限り図っていくことが重要です。