MFAだけでは不十分な理由：データを守るために

By Mirko Peters · 2026-08-28

セキュリティに関心のある皆さん、お帰りなさい！私と同じように、多要素認証（MFA）が一般に普及したとき、テクノロジーコミュニティ全体が胸をなでおろしたのを覚えている方も多いのではないでしょうか。長年、私たちは壊れやすく、推測されやすいパスワードに頼ってきました。MFAは、攻撃者を完全に締め出す万能の解決策として期待されていました。顧客にも、友人にも、同僚にも、とにかく有効にするよう勧めてきました。銀行口座、SNS、業務ポータルなど、ログイン画面があるものにはすべてMFAを設定すれば終わり、というわけです。

Automatically translated with AI from the original post. Read the English original

セキュリティに関心のある皆さん、お帰りなさい！私と同じように、多要素認証（MFA）が一般に普及したとき、テクノロジーコミュニティ全体が胸をなでおろしたのを覚えている方も多いのではないでしょうか。長年、私たちは壊れやすく、推測されやすいパスワードに頼ってきました。MFAは、攻撃者を完全に締め出す万能の解決策として期待されていました。顧客にも、友人にも、同僚にも、とにかく有効にするよう勧めてきました。銀行口座、SNS、業務ポータルなど、ログイン画面があるものにはすべてMFAを設定すれば終わり、というわけです。

しかし、今日直視しなければならない厳しい事実があります。MFAだけでは不十分だということです。実際、MFAを唯一の防御線として頼ることは危険な賭けです。サイバー犯罪者は進化しており、現在ネットワークを狙う高度な脅威は、従来のMFAの確認画面をまるで存在しないかのように回避してしまいます。

この記事では、絶対的な安全性という幻想を取り払い、現代の多要素認証システムに内在する明らかな脆弱性を検証するとともに、パスワードや標準的なトークンが日常的に侵害される世界で、堅牢な防御戦略を構築するために実際に何が必要かを探ります。企業環境の保護に取り組むIT担当者の方でも、個人のデジタルライフを守りたい方でも、これらのリスクを理解することは欠かせません。さっそく見ていきましょう。

重要なポイント

• MFAは万能の解決策ではありません。それ単独でデータセキュリティを保証することはできません。
• フィッシング攻撃は、ユーザーをだまして認証情報を入力させることで、MFAを回避することがあります。
• OAuthの同意攻撃は、MFAが完了した後でも不正アクセスを許してしまいます。
• SIMスワッピングにより、SMSベースのMFAコードを傍受され、セキュリティが損なわれる可能性があります。
• セッションハイジャックは有効なセッションを悪用し、攻撃者がMFAを回避することを可能にします。
• ユーザーエクスペリエンス上の問題からMFAの利用が放棄されると、脆弱性が高まる可能性があります。
• パスワードマネージャーを活用すると、セキュリティを強化し、パスワードを効果的に管理できます。
• ゼロトラストセキュリティモデルを採用し、ユーザーIDを継続的に検証するとともに、アクセスを制限しましょう。

MFAの脆弱性

フィッシング攻撃

フィッシングの概要

フィッシング攻撃は、データセキュリティに対する最も一般的な脅威の一つであり続けています。これらの攻撃は、パスワードや認証コードなどの機密情報を入力させるようあなたを欺きます。サイバー犯罪者は、ソーシャルエンジニアリングの手法を使ってあなたを操り、こうした情報を提供させることがよくあります。正規のものに見えるメールを送信し、悪意のあるリンクをクリックさせたり、有害な添付ファイルをダウンロードさせたりするのです。

フィッシング攻撃は、多要素認証（MFA）を回避するために、AiTM（Adversary-in-the-Middle）フィッシングやトークン窃取などの手法を用いることがあります。これらの手法は認証プロセスの脆弱性を悪用し、MFAの確認を完了させることなく不正アクセスを可能にします。このような攻撃の頻度は増加しており、近年はこれらの手法の使用が顕著に増えています。

実例

攻撃者がMFAを突破するために用いる、次の手法を確認しておきましょう。

• ソーシャルエンジニアリング：ハッカーは、フィッシングメールや電話を通じて認証コードや認証情報を提供させるよう仕向け、人の弱点を突きます。
• MFA疲労攻撃：攻撃者はMFAの承認要求を大量に送りつけ、うんざりしたあなたが要求を承認してしまうよう仕向けます。
• SMS OTP攻撃：SIMスワッピングなどの手法により、攻撃者はSMSベースのワンタイムパスワードを傍受し、MFAを回避します。

近年、フィッシングは巧妙なキャンペーンへと進化しています。たとえば AiTM キャンペーンでは、フィッシング用の基盤を正規のサービスとの間に配置し、認証情報と MFA トークンの両方を取得します。このため、攻撃者は MFA を突破されることなくアクセスを得られます。トークンの窃取とは、認証トークンを盗み、パスワードや MFA の認証を経ずに不正アクセスを行う手法です。

OAuth 同意攻撃

OAuth の同意の仕組み

OAuth 同意攻撃では、悪意のあるアプリケーションにアクセス許可を与えるようユーザーを誘導します。この攻撃は認証プロセスではなく、認可の層を狙います。いったん同意されると、攻撃者はMFA とは独立して機能するアクセス トークンを受け取り、アカウントへの継続的なアクセスを確保します。

不正アクセスのリスク

OAuth 同意攻撃に伴うリスクは深刻です。攻撃者は、MFA を完了した後もデータにアクセスできます。つまり、一度同意が与えられると、MFA のような従来のセキュリティ対策では不正アクセスを防げません。最近の傾向として、悪意のあるエンタープライズ アプリケーションの大幅な増加が確認されており、Microsoft 365 のクライアントが標的になっています。

SIM スワッピング

SIM スワッピングの仕組み

SIM スワッピングは、攻撃者が携帯通信会社を説得して電話番号を新しい SIM カードへ移行させ、電話番号を掌握する手法です。これにより、MFA コードを含む SMS メッセージを傍受できるようになります。

ケーススタディ

SIM スワッピング攻撃は急増しています。米連邦取引委員会 (FTC) は、2021 年から 2022 年にかけて SIM スワッピング攻撃が 400% 増加したと報告しています。2020 年に プリンストン大学が行った調査では、SIM スワップ詐欺の初期試行の 80% が成功しており、その主な原因は通信事業者が使用する認証方式の脆弱性でした。

2023 年 9 月には、イーサリアムの共同創設者 Vitalik Buterin 氏が SIM スワッピング攻撃の標的となり、ハッカーに Twitter アカウントを乗っ取られました。また、2023 年 8 月には Kroll の従業員も SIM スワッピング攻撃の被害に遭い、企業の機密情報への不正アクセスにつながりました。

SIM スワッピング攻撃の影響は深刻になる可能性があります。

• 攻撃者は、SMS で送信された MFA コードを傍受し、アカウントへの不正アクセスを行うことができます。
• 機密情報へのアクセスは、データ侵害や知的財産の喪失につながる可能性があります。
• FBI は、SIM スワッピング攻撃による損失が約 5,000 万ドルに上ったと報告しています。

セッション ハイジャック

セッション Cookie の悪用

セッション ハイジャックは、攻撃者がWeb アプリケーションでのアクティブなセッションを乗っ取る攻撃です。攻撃者は、ログイン後にデバイスに保存される小さなデータである セッション Cookie を悪用します。この Cookie により、資格情報を再入力せずにログイン状態を維持できます。しかし、攻撃者がこの Cookie を盗むと、ユーザーになりすまし、アカウントへの不正アクセスを行えるようになります。

攻撃者がセッションを乗っ取る際によく使う方法は次のとおりです。

• ユーザー認証後のセッション トークン (Cookie) の窃取。
• Adversary-in-the-Middle (AitM) プロキシ攻撃。Evilginx などのツールを使い、認証情報と MFA コードをリアルタイムで傍受します。
• 情報窃取型マルウェアの利用。被害者のデバイスからセッション Cookie を抽出します。
• マルウェアまたはフィッシングによる Cookie の窃取。
• ネットワーク スニッフィング。保護されていない Wi-Fi でセッション データを傍受します。
• クロスサイト スクリプティング (XSS) 攻撃による Cookie の窃取。
• TCP セッション ハイジャック。シーケンス番号を予測して行います。

これらの手法により、攻撃者はパスワードと MFA のプロンプトの両方を回避できます。セッション Cookie を入手すると、パスワードや MFA コードがなくてもアカウントにアクセスできてしまいます。

MFA の有効性への影響

攻撃者がセッションの乗っ取りに成功すると、MFA の有効性は大きく低下します。攻撃者は MFA の確認を回避したうえで、本人になりすましてその本人として操作を行えます。たとえば、攻撃者がセッション Cookie を盗み取った場合、パスワードや MFA コードを入力することなくアカウントにログインできてしまいます。

自身を守るには、信頼できないデバイスでは「サインイン状態を維持する」オプションを使用しないでください。アカウントが侵害された可能性がある場合は、直ちにすべてのセッションを強制的にサインアウトしてください。この対応により、セッション乗っ取りに伴うリスクを軽減できます。

多要素認証の制限事項

ユーザー エクスペリエンスとセキュリティ

利便性と安全性のバランス

多要素認証 (MFA) を使用する際、ジレンマに直面することがよくあります。MFA はセキュリティを強化する一方で、ユーザー エクスペリエンスを複雑にすることもあります。多くのユーザーは、設定や復旧の手順をわかりにくいと感じます。この複雑さが不満を生み、最終的に MFA の利用そのものを諦める原因になります。実際、ユーザーは使い勝手の悪さが原因で MFA を頻繁に放棄しています。主な要因は次のとおりです。

• 複雑さ: MFA の設定は時間がかかり、特に技術に詳しくない人にとってはわかりにくいものです。
• 煩わしさ: 認証要求が繰り返されると不満がたまり、導入率の低下につながります。
• ガイダンス不足: 説明が不十分だと、MFA の手順を完了するのに苦労します。
• ユーザーの抵抗: MFA 全体の負担によって、導入を拒否したり放棄したりすることがあります。

こうした使い勝手の課題は、ユーザーの不満や MFA システムの放棄に直接つながります。

ユーザーの遵守に関する問題

ユーザーのコンプライアンス遵守は、MFAの効果を左右する重要な要素です。利便性や複雑さを理由にMFAを避けると、自分自身と組織がリスクにさらされます。コンプライアンスの遵守が不十分だと、次のような問題が生じる可能性があります。

• MFA を完全に回避する。
• 導入に抵抗し、パスワードベースの攻撃に対してシステムが脆弱なままになる。
• MFA の利用が不十分、または誤って構成され、保護効果が低下する。

技術的な欠点

安全でないチャネル

MFA はさまざまな通信チャネルに依存していますが、すべてが安全というわけではありません。たとえば、認証に SMS を使用すると、セキュリティを大きく弱める可能性があります。攻撃者が電話番号を乗っ取ると、MFA コードを含む SMS を傍受できてしまいます。また、パスワードのみに依存していると、資格情報が漏えいした場合に、攻撃者は追加の障壁なしでアカウントにアクセスできてしまいます。

標準化の欠如

MFA の実装が標準化されていないことにより、プラットフォームごとにアプローチがばらばらになります。この一貫性のなさは、MFA の信頼性に悪影響を及ぼします。たとえば、IoT や電子サービスなどの分野では MFA のプロトコルがまちまちであることが多く、それが脆弱性を生む可能性があります。

これらの制約は、組織がMFAを導入する際に直面する課題を浮き彫りにします。セキュリティ態勢を改善するには、これらの問題を理解することが不可欠です。

MFA の代替手段

今日のデジタル環境では、多要素認証（MFA）だけに頼ると脆弱性が残る可能性があります。代わりに、保護を強化する別のセキュリティ対策の導入を検討してください。以下に有効な選択肢をご紹介します：

パスワード マネージャー

パスワード マネージャーを使うメリット

パスワード マネージャーを使えば、オンラインのセキュリティをシンプルに保てます。パスワードを保存して暗号化するため、アカウントごとに固有で複雑なパスワードを簡単に使い分けられます。これにより、資格情報の窃取やパスワードの使い回しのリスクが減ります。

パスワード マネージャーがセキュリティを高める仕組み

パスワード マネージャーを使えば、強力なパスワードを自動で生成できます。複数のパスワードを覚える必要がなくなり、暗記ではなくセキュリティに集中できます。さらに、多くのパスワード マネージャーには、パスワードの共有や漏えいアラートなどの機能もあり、ID セキュリティをいっそう強化します。

生体認証

生体認証の種類

生体認証は、固有の身体的特徴を使って本人確認を行います。一般的な方法には次のものがあります：

• 指紋認証
• 手のひら認証
• 網膜・虹彩認証
• 音声認識
• 呼気センシング
• DNA照合
• 静脈認証
• 歩行認識

これらの方法は、医療や製造業など、共有デバイスが多く使われる分野で広く採用されています。

生体認証のメリットとデメリット

生体認証にはいくつかの利点があります：

1. 強固なセキュリティがあり、ID 盗難のリスクを低減できます。
2. 利便性：パスワードを覚える必要がなくなります。
3. ユーザー エクスペリエンスの向上：デバイスやサービスへすばやくアクセスできます。

ただし、欠点もあります：

生体認証はセキュリティを高める一方で、データのプライバシーや漏えいへの懸念も生じさせます。

ゼロ トラスト セキュリティ モデル

ゼロ トラストの原則

ゼロ トラスト セキュリティ モデルは、次の原則に基づいて動作します。それは"信頼せず、常に検証する"という考え方です。このアプローチでは、すべてのアクセス要求に対して厳格な認証と認可が求められます。主な原則は次のとおりです：

• いかなるネットワーク アクセスにも、暗黙の信頼を与えないこと。
• 暗号化などの複数の保護策を講じること。
• データへのアクセスは、知る必要のある範囲に厳格に限定すること。

組織におけるゼロ トラストの実装

組織は、ユーザー ID を継続的に検証し、承認されたユーザーとリソースへのアクセスを制限することで、ゼロ トラストを実装できます。このモデルでは、すべての接続に対して ID ベースの認証と認可を重視します。ユーザーの動作とデバイスの正常性を監視することで、組織はアクセスを動的に承認でき、MFA を唯一のセキュリティ対策として頼る必要性が減ります。

MFA には、認識しておくべき重大な脆弱性と制約があります。攻撃者は偽のログイン ページを悪用して資格情報を盗み取り、MFA の有効性を損なう可能性があります。さらに、61% の組織でルート ユーザーに MFA が設定されていないという報告があり、この方法だけに頼ることのリスクが浮き彫りになっています。

データを保護するには、複数の層からなるセキュリティを備えた、先手を打つアプローチを採用してください。次の対策の導入を検討することをお勧めします。

• データの露出を抑えるための、ロールベースのアクセス制御。
• 強力な認証のための、HIPAA や GDPR などの規制への準拠。
• 不審な動作を検出するための、サインイン アクティビティの継続的な監視。

セキュリティ対策を多様化することで、重要な情報をより適切に保護できます。

よくある質問

MFA とは何ですか?

MFA（多要素認証）は、2 つ以上の確認方法を求めることで、セキュリティを強化する仕組みです。確認方法には、本人だけが知っているもの（パスワードなど）、本人が持っているもの（スマートフォンなど）、本人の身体的特徴（指紋など）が含まれます。

フィッシングはどのように MFA を回避するのですか?

フィッシング攻撃は、ユーザーを欺いて資格情報や MFA コードを入力させます。攻撃者は、攻撃者中間者型（AiTM）フィッシングなどの手法を使い、パスワードと MFA トークンの両方を取得することがあります。これにより、MFA を突破せずにアカウントへアクセスされるおそれがあります。

OAuth 同意攻撃とは何ですか?

OAuth 同意攻撃は、攻撃者がユーザーを誘導して、悪意のあるアプリケーションにアクセス許可を与えさせる攻撃です。同意が与えられると、攻撃者はアクセス トークンを取得し、MFA を経由せずにユーザーのデータへアクセスできるようになります。

SIM スワップが危険なのはなぜですか?

SIM スワップでは、攻撃者が電話番号を乗っ取ることができます。攻撃者は SMS を傍受できるため、MFA コードも含めて入手でき、ユーザーに気付かれないまま MFA を回避してアカウントにアクセスできてしまいます。

セッションハイジャックはどのように行われますか?

セッションハイジャックは、ユーザーがサインインした後にセッション Cookie を盗み取ることで行われます。攻撃者は盗んだ Cookie を使ってユーザーになりすまし、パスワードや MFA コードがなくてもアカウントにアクセスできます。これにより、MFA の効果が損なわれます。

MFA の代替手段にはどのようなものがありますか?

MFA の代替手段には、パスワード マネージャーの利用、生体認証の導入、ゼロトラスト セキュリティ モデルの採用などがあります。これらの方法により、セキュリティ態勢を強化し、MFA だけに頼る状況を減らすことができます。

セキュリティはパスワードだけに頼ってもよいですか?

いいえ、パスワードだけに頼るのは危険です。パスワードは盗まれたり推測されたりする可能性があります。MFA やパスワード マネージャーなど、追加のセキュリティ対策を導入することで、不正アクセスからの保護を大幅に高めることができます。

セキュリティ態勢を改善するにはどうすればよいですか?

セキュリティを強化するには、強力で固有のパスワードを使用し、可能な限り MFA を有効にして、アカウントの不審なアクティビティを定期的に監視することを検討してください。データを守るためには、多層的なセキュリティ アプローチを採用することが不可欠です。

結論

この記事全体で見てきたように、多要素認証を完璧な切り札と考えることは、危険な誤りです。巧妙な AiTM フィッシング キャンペーン、容赦のない SIM スワップ、セッションハイジャック、そして巧妙な OAuth 同意の悪用によって、攻撃者は標準的な多要素認証の防御をすり抜ける手段を数多く見つけています。MFA はセキュリティ ツールの中で依然として重要な手段ですが、より大きな課題の一層にすぎません。デジタル資産を本当に守るには、多層防御の考え方を取り入れ、強力な認証方式と信頼性の高いパスワード マネージャーを組み合わせ、ゼロトラスト アーキテクチャへ移行する必要があります。

最近の ID への攻撃がどのように行われるか、特に攻撃者がアプリケーションのアクセス許可をどのように悪用して長期的なアクセスを維持しているかについてさらに詳しく知りたい場合は、関連するポッドキャスト エピソードをぜひご覧ください。詳しい解説は、Stop OAuth Consent Attacks in Microsoft Entra ID でお聴きいただけます。引き続きご注意いただき、前提を常に見直しながら、次のエピソードでまたお会いしましょう。