MFA疲労攻撃の仕組み：繰り返される認証要求が Microsoft 365 と Azure のセキュリティを脅かす理由

By Mirko Peters · 2026-04-26

Microsoft 中心の職場では、多要素認証（MFA）は玄関の鍵の役割を果たすはずです。パスワードを盗まれただけでは、攻撃者が侵入できないようにするためのものです。しかし…

Automatically translated with AI from the original post. Read the English original

Cover: Detect Microsoft 365 Attack Chains with Entra and Sentinel

Microsoft 中心の職場では、多要素認証（MFA）は玄関の鍵のような役割を果たし、パスワードを盗んだだけでは攻撃者が侵入できないようにするはずのものです。ところが今、新たな手口が登場しています。それが MFA 疲労攻撃です。この手法では、利用者に検証要求を絶え間なく送りつけ、誰かがうんざりして「承認」を押すのを待ちます。

Microsoft 365 と Azure を利用する組織が増えるにつれ、攻撃者はクラウドを直接狙うようになっています。クラウドでは、アイデンティティがすべての鍵になります。厄介なのは、MFA 疲労攻撃はシステムを破壊するのではなく、人の忍耐を崩すことです。実際の利用者を消耗させることで防御をすり抜けます。そのため、オフィスでもリモートでも深刻な脅威となります。

本記事では、これらの攻撃が何であり、実際にどのように機能するのか、そして自社の大切なデジタル環境を守るために、従来の MFA の枠を超えて考える必要がある理由を解説します。

MFA 疲労攻撃とは何か、なぜ注意が必要なのか

MFA 疲労攻撃は、多要素認証の仕組みを悪用するソーシャルエンジニアリング型のサイバー攻撃です。攻撃者は繰り返しログイン要求を送りつけ、利用者を圧倒します。通知が十分に続くと、多くの利用者はいずれ警戒を緩めて一度は承認してしまいます。その結果、技術的な侵害がなくても攻撃者はアクセスを得てしまいます。これが「疲労」攻撃と呼ばれる理由です。

この手法は、パスワードスプレーやトークン窃取といった従来の脅威とは異なります。MFA 疲労攻撃は、大量の要求で利用者を圧倒することに依存します。プッシュ型認証に組み込まれた信頼や習慣を突くのです。フィッシングが認証情報を入力させるのとは違い、これらの攻撃は判断疲れやヒューマンエラーに依存します。大規模な企業では、要求の疲労が大規模に見過ごされやすいため、特に一般的です。

「MFA ボミング」や「MFA スパミング」という言葉を耳にすることもあるでしょう。これらは、大量の要求を使って同じ結果を得る手法の亜種にすぎません。この手法は、クラウドアクセスやシングルサインオンが至る所にある Microsoft 365 や Azure 環境で特に効果を発揮します。最近のMicrosoft 365 の侵害事例では、攻撃者が MFA 疲労攻撃を OAuth の同意の窃取やセッショントークンの悪用と組み合わせ、強固なセキュリティ対策さえも回避しました。

結論として、組織がプッシュ通知や弱い MFA 方式に依存している場合、これらの攻撃の格好の標的になります。業務が従来のオフィスの外で行われるほどリスクは高まります。MFA 疲労攻撃を理解することが、確実に防ぐための第一歩です。

実際の MFA 疲労攻撃の仕組み

攻撃は盗まれた認証情報から始まります： 攻撃者はまず、有効なユーザー名とパスワードを入手します。多くは、フィッシング、情報窃取型マルウェア、またはダークウェブでの購入によるものです。
攻撃者が繰り返し MFA 要求を送信します： 盗んだログイン情報を使い、攻撃者はすぐにサインインを試みます。これにより MFA システムが作動します。しかし攻撃者は止まらず、プッシュ通知やスマートフォンアプリを狙って、認証要求を連続で送ります。その回数は、数十回から数百回に及ぶこともあります。
利用者は絶え間ない割り込みに直面します： 標的となった利用者は、職場、自宅、場合によっては深夜であっても、予期しない MFA 要求の嵐にさらされます。煩わしく、場違いで、疲れ切ってしまう状況です。
認知的な疲労と人間の性質が表れます： 要求が続くと、慎重な利用者でも気が散ったり、感覚が麻痺したり、単純にいら立ったりします。誤ってタップする、あるいは「とにかく止めたい」という思いから承認してしまう。それだけで防御は突破されてしまいます。
攻撃者が Microsoft 365 や Azure のリソースにアクセスします： MFA が承認されると、攻撃者は侵入に成功します。ここから権限を昇格させたり、データを持ち出したり、横方向に移動したりして、すばやく永続性を確立します。実際の事例では、OAuth の悪用や条件付きアクセスの抜け穴といった高度な手法と組み合わされることも多くあります。
影響は環境全体に及びます: チームが明確なポリシーを定めていない場合や、古い例外設定に対応しきれていない場合、被害は拡大しかねません。防御を紙の上だけでなく実効性のあるものに保つため、条件付きアクセスのセキュリティ負債を整理する方法について詳しくご覧ください。

MFA疲労攻撃が効果的なのは、攻撃の連鎖の中で最も弱い箇所、つまり業務をこなそうとする実際の人間を突くからです。攻撃の手順自体は単純ですが、その後の影響は甚大になり得ます。

多要素認証とその脆弱性の理解

多要素認証(MFA)は、現在ほとんどの組織のセキュリティ対策の中核にあり、特に Microsoft 365 と Azure を利用するユーザーにとって重要です。基本的な考え方はシンプルです。パスワードだけでなく、パスワードに加えて別の要素(スマートフォンや指紋など)を使って、本人であることを証明します。

複数の要素を攻略するのは、単一のパスワードを推測するよりはるかに困難であるため、この仕組みは有効です。しかし現実には、追加の手順があってもなお、攻撃者は手口を工夫し続けています。人間の習慣、プッシュ通知への疲労、モバイル端末への依存度の高まりによって、攻撃者は新たな経路を得ています。暗号を破るのではなく、ユーザーを操作することが中心になっているのです。

つまり、MFA はクラウドセキュリティにおける重要な防御線であり、ベストプラクティスでもありますが、万能ではありません。これから見ていくように、MFA 疲労攻撃のようなエンジニアリング攻撃は、ユーザーの備えが不十分で、システムのガバナンスが行き届いていない場合、強力なセキュリティツールを弱点に変えてしまいます。チーム全員の作業を妨げずに MFA を万全にしたい場合は、効果的な Microsoft 365 のセキュリティ構成に関するガイダンスを確認し、ユーザーとデータの両方を守ってください。

多要素認証とは何か、そしてどのように機能するのか

多要素認証(MFA)は、本人であることを確実にするために、本人確認の層を追加する仕組みです。システムやアカウントにアクセスする前に、ユーザーに2種類以上の異なる認証情報の提示を求めます。これらの認証情報は認証要素と呼ばれます。

MFA では、パスワードを入力するだけでなく、デバイスコード、指紋、その他の確認操作も求められます。この単純な強化により、ほとんどの基本的な資格情報攻撃を防ぐことができます。そのため、Microsoft、銀行、クラウドサービスがこの仕組みに強く依存しているのです。適切に実装すれば、MFA は不正アクセスを大幅に減らし、ゼロトラストの原則を支えます。

認証要素の種類

知っているもの: パスワードや PIN がこれにあたります。本人だけが知っている秘密ですが、弱いパスワードは簡単に盗まれる可能性があります。
持っているもの: モバイルデバイス、ハードウェアトークン、セキュリティキーなどです。本人が所有する固有の物理的なアイテムであり、通常は2番目の手順で使用されます。
本人の特徴: 指紋スキャン、顔認証、音声認証などの生体認証です。これらは身体的な本人性を検証するため、偽造や盗難が困難です。
アプリベースの認証: コードを生成したり受信したり、プッシュ通知を受け取ったりする認証アプリです。ユーザーは柔軟かつ迅速に応答できます。
セキュリティキー(FIDO2): 公開鍵暗号方式を用いるハードウェアキーです。特に Microsoft 365 などのクラウドプラットフォームと組み合わせた場合、フィッシングや疲労攻撃への耐性が最も高い方式です。

攻撃手法: MFA バombing からソーシャルエンジニアリングの手口まで

もはや強力なパスワードを用意するだけでは不十分です。組織の MFA を狙う攻撃者は、チームの日常的な業務の流れと、煩わしさを避けたいという自然な心理を悪用することが真の切り札であることを知っています。このセクションでは、MFA 疲労攻撃を成功に導く主な手法を紹介します。特に大量の通知を送りつける「bombing」手法と、巧妙なソーシャルエンジニアリング戦略に焦点を当てます。

Microsoft を多用する環境では、攻撃者は技術と心理を組み合わせて、最善のセキュリティ設定すら回避します。まず単純なスパム的手法、つまり大量の認証要求の送信から始めることもあれば、標的を絞った通知や緊急性をあおる言葉によってユーザーをだます段階へ進むこともあります。多くの管理者は Shadow IT、OAuth リスク、アプリの乱立といった問題への対応に追われているため、注意を怠ると、これらの手口は見過ごされやすくなります。

攻撃者が技術的な手法とソーシャルハッキングを組み合わせ、クラウド環境での認証プロンプト疲れから利用者の混乱まで、あらゆるものを悪用する仕組みを解説します。情報漏えいを防ぐ方法をもっと知りたい方は、M365 における無許可のアプリとアクセスリスクの管理に関するこちらのガイドをご覧ください。

MFA ボンバリングと MFA スパミングの解説

MFA ボンバリング（MFA スパミングとも呼ばれます）とは、攻撃者がユーザーのデバイスに対して MFA のプッシュ通知を繰り返し発生させる攻撃です。大量の通知で本人を圧倒し、煩わしさや混乱から、あるいは諦めから、不正なリクエストを承認させることが目的です。

Microsoft アカウントで MFA を正しく構成していても、この攻撃は成立します。多くのシステムが短時間に複数の認証試行を許容しているためです。ユーザーは絶え間なく届くプロンプトに直面し、疲労を経て最終的に承認してしまいます。これは総当たり攻撃（ブルートフォース）ではなく、うんざりさせることで突破する攻撃なのです。

MFA 疲労攻撃におけるユーザーの行動の悪用

MFA 疲労攻撃の本当の力は、繰り返されるプロンプトそのものではなく、心理的な操作にあります。攻撃者は、ストレス、切迫感、いら立ちといった人の自然な反応を利用します。十分な数の通知で業務を妨げれば、習慣的に、あるいはいら立ちから操作してしまう可能性が高いことを、攻撃者は理解しているのです。

たとえば攻撃者は、忙しい時間帯や、利用者が疲れている深夜に合わせて大量のリクエストを送ることがあります。さらに、スパムの後にフィッシングメッセージ（「こちらは IT 部門です。緊急のアップデートのため、MFA を承認してください」）を送り、不正なサインインを「承認」させようとすることもあります。判断疲れが生じ、たった一度の誤操作で十分なのです。

シングルサインオンや常時の認証要求が一般的な Microsoft のクラウド環境では、この攻撃は利用者にとってさらに見抜きにくくなります。Teams、SharePoint、Exchange などのアプリに結び付いたワークフローでは、プロンプト疲れや通知への慣れが生じやすく、攻撃者はまさにそこにつけ込んで防御をすり抜けようとします。

リモートワークおよびハイブリッドワークにおける MFA 疲労のリスク

リモートワークやハイブリッドワークが当たり前になった今、状況は変わりました。自宅、カフェ、ホテルで作業すると、MFA 疲労攻撃にさらされやすくなります。個人用デバイスと業務用デバイスを切り替えて使ったり、普段とは異なる場所から Microsoft 365 にサインインしたりすると、攻撃者が攻撃の機会を見つけやすくなります。

今の社員は、自宅のネットワーク、公衆 Wi-Fi、モバイルホットスポットなど、あらゆる場所からサインインしている可能性が高いでしょう。こうした接続は、オフィスのネットワークほど安全とは限りません。さらに、個人用デバイスにはすべての保護機能が備わっていないこともあり、攻撃者が狙う防御の小さなほころびが生まれます。

加えて、ハイブリッドチームを抱える組織では、アクセスポリシーを最新の状態に保ち、すべてのユーザーや利用シナリオでデバイスのコンプライアンスを徹底することに苦労しがちです。例外が多すぎたり、条件付きアクセスのルールが過度に広かったりすると、利用者だけでなく攻撃者にとっての抜け穴になります。ポリシーを強化し、リモートワーカーに偽のプロンプトの見分け方を教えることが重要です。ベースラインポリシーやゼロトラスト導入の詳細については、Microsoft 365 で包括的かつ信頼性の高い条件付きアクセスを構築する方法に関するガイダンスをご覧ください。

リモート環境におけるアタックサーフェスの拡大

インフラストラクチャが分散していると、つまり自宅の Wi-Fi、VPN、個人所有のデバイスが混在していると、気付かれずに侵入しようとする攻撃者にとって好都合になります。BYOD（Bring Your Own Device、個人所有デバイスの業務利用）では、IT チームが可視性と制御を失い、利用者は重要な更新を見逃したり、リスクのあるアプリをインストールしたりすることがあります。

安全でないネットワーク、共有タブレット、管理されていないエンドポイントは、アタックサーフェスを広げます。これは、安全なオフィス環境の外からクラウドシステムにサインインするハイブリッドワーカーやリモートワーカーにとくに当てはまります。攻撃者は、組織の境界の外では防御が弱まることを知っており、積極的にこうしたユーザーを狙います。

ハイブリッドチームにおける MFA 疲労を軽減するポリシー

条件付きアクセスの適用： Microsoft Entra または Azure AD のポリシーを使用し、アクセスを許可する前に、検証済みの場所、デバイスのコンプライアンス、リスクベースのプロンプトを必須にします。実践的な戦略については、Entra ID Conditional Access Security Loopをご覧ください。
デバイスのコンプライアンスチェック: セキュリティ基準を満たすデバイスからのアクセスのみを許可します。これにより、古い未管理のハードウェアによるリスクを減らせます。
ゼロトラストの統合: ID、デバイスの正常性、動的なセッション制御を組み合わせたゼロトラストモデルへ移行します。設計の実践的なヒントは、ポッドキャスト Zero Trust by Design for Microsoft 365 で紹介しています。
継続的なトレーニングと意識向上: 特にリモートワークやハイブリッドワークの社員に対し、不審な MFA のアクティビティを認識して報告する方法を定期的に教育します。

MFA 疲労攻撃の検出と防止: ベストプラクティス

MFA 疲労攻撃の仕組みを理解したら、次は被害に至る前にその兆候を見つけ、食い止める方法を学ぶ段階です。早期検出の鍵は、MFA 要求の異常な急増、個々のアカウントに対する大量のプロンプト、通常と異なる場所やデバイスからのサインイン試行を見分けることです。

Microsoft の環境では、詳細な監査ログとリアルタイムのアラートを、Microsoft Purview や Entra ID などのツールで活用すると、セキュリティチームが問題の兆候を正確に特定できます。検出はブルートフォース攻撃を探すだけでは不十分です。MFA 疲労攻撃は目立たない形で、あるいは数日にわたって分散して行われることもあるため、より高度な分析と文脈を踏まえた監視が必要です。

防止には、技術と日頃の習慣の両方が欠かせません。リスクベース認証、番号の一致、パスワードレスサインインによって、従来型の MFA 方式の悪用を抑えられます。一方で、ユーザー向けの意識向上トレーニングは、人による最後の防御線として今も最も有効です。怪しいプロンプトがどのようなものかを、利用者自身が知っておく必要があります。監査とガバナンスを実践するには、Microsoft Purview での監査の手順ガイドとプラットフォームガバナンスのベストプラクティスもご覧ください。

MFA 疲労攻撃に対する、実証済みの防止と軽減の方法

リスクベース認証の採用: サインインの状況(場所、時刻、デバイスなど)を分析し、必要な場合にのみ追加の認証を求めるシステムを導入します。これにより、攻撃者が正規のユーザー操作になりすますことが難しくなります。
番号の一致とパスワードレスサインインの有効化: 単に「承認」をタップさせるのではなく、番号の入力や FIDO2 セキュリティキーへのタッチを求めるプッシュ検証方式を使用します。こうした方式は自動承認を防ぎ、誤って承認してしまうケースも減らします。
通知設定の調整: Microsoft Defender と Entra ID でアラートやエスカレーションのしきい値を微調整し、不審な量の MFA プロンプトがセキュリティチームによってすぐに確認されるようにします。
セキュリティ意識の向上: 特に分散したチームを対象に、不審な MFA プロンプトの見分け方と、身に覚えのない要求を絶対に承認しないことの重要性について、定期的にユーザートレーニングを実施します。
条件付きアクセスポリシーの強化: 古い例外設定がないかポリシーを見直し、明確で漏れのないルールを適用するように移行します。指針として、Entra ID Conditional Access Security Loop で、ポリシーのライフサイクル管理の進め方を確認してください。

高度なセキュリティソリューション: FIDO2、AI による保護、ID セキュリティプラットフォーム

単純な対策を超えたい場合は、Microsoft 365 および Azure テナントで疲労攻撃に強い高度なセキュリティソリューションを検討する段階です。まず挙げられるのは FIDO2 です。フィッシングと終わりのない MFA プロンプトの両方を食い止めるよう設計された、ハードウェアベースの認証標準です。また、人工知能(AI)と行動分析によって異常なサインインパターンを見分け、不審な要求を自動的にブロックする仕組みについても取り上げます。

Exabeam のような統合型の ID セキュリティプラットフォームは、こうした防御をさらに一段引き上げます。大規模な Microsoft 環境の中で、ID の検出、分析、迅速な対応をひとつにまとめます。サイバー犯罪者とユーザーのミスの両方を、事後ではなく事前に防ぎたい場合、それぞれのツールには固有の強みがあります。

FIDO2 の導入と、不審な認証要求を先回りして検出する AI 型の保護については、次回に詳しくご紹介します。プロンプト型の古い MFA から、より賢く安全な仕組みへの移行にお役立てください。

MFA疲労攻撃はFIDO2キーで防げるのか？

FIDO2キーは、最新の認証における理想的な方式としてよく挙げられます。これらの物理的なセキュリティキーは公開鍵暗号を使用するため、フィッシングやMFA疲労攻撃にほぼ耐性があります。FIDO2キーを使う場合、承認するためのプッシュ通知は表示されません。キーをタップするか差し込むだけで、本人であることを証明できます。

Microsoft 365とAzureはどちらもFIDO2キーをネイティブにサポートしているため、企業はプラットフォームとの統合を活用して展開できます。課題としては、大規模に展開する場合に新しいハードウェアへの投資が必要になることや、ユーザーのスキルアップが必要になることが挙げられます。ただし、重要なアカウントや経営層のアカウントについては、その負担に見合う価値があると考えるセキュリティチームがほとんどです。

AIによるセキュリティと行動分析を活用して攻撃を阻止する

人工知能は、MFA疲労攻撃に対抗する強力な味方です。Microsoft DefenderやEntra IDのようなAIを活用したセキュリティシステムは、サインイン試行の異常なパターンを自動的に検出します。不審な場所、ありえない移動（インポッシブルトラベル）、プロンプトの突発的な急増などにフラグを立てます。

行動分析は時間をかけて学習を重ね、ユーザーごとの「通常」の状態を把握し、パターンから外れる動きをすばやく見つけ出します。こうしたプラットフォームは既知の攻撃シグナルを検出するだけでなく、ユーザーが通知を目にする前に、繰り返し発生する不審な認証要求やいつもと異なる認証要求を拒否することもできます。継続的な監視とコンプライアンスについては、Microsoft Defender for Cloud の監視のベストプラクティスをご覧ください。

Exabeamと、Microsoft環境向けの統合されたID セキュリティ

Exabeamは、Microsoft環境においてID の検出と対応を一元化するプラットフォームの一例です。Microsoft 365およびAzureと連携することで、Exabeamは一元的な可視化、高度な分析、そしてID ベースの脅威に対する自動封じ込めを提供します。MFA疲労攻撃もその対象に含まれます。

こうしたプラットフォームは、クラウド全体のID イベントを相関分析することで、運用効率を高め、対応時間を短縮するのに役立ちます。SOCチームはすべてのアラートを手作業で追いかける代わりに、誰が攻撃を受けているのか、そしてどのように軽減すればよいのかについて、優先順位の付いた実用的なインサイトを得られます。しかもそれは、Microsoftのエコシステム向けに調整された、実際の攻撃検出プレイブックに基づいています。

FAQ、専門家のヒント、そして明日の脅威に備えるための次のステップ

ここまでで、MFA疲労攻撃がリスクの上位に浮上している理由はおわかりいただけたと思います。次に環境を安全に保つために何ができるのか、気になっている方も多いのではないでしょうか。このセクションでは、MFA疲労攻撃に関してよく寄せられる質問に答え、専門家の知見に基づく推奨事項を紹介し、実践的な次のステップを示します。

MFAは今でも有効なのか、通常のプロンプトと攻撃をどう見分けるのか、と疑問に思っていませんか。あるいは、Microsoft 365のユーザーを、利便性を損なわずに保護するための専門的なアドバイスを求めているかもしれません。検出やインシデントからの復旧、そして脆弱な構成を堅固な防御へと変えるテクノロジーやポリシーまで、すべてを取り上げてきました。

セキュリティとユーザーの快適さのバランスを取るための必須設定とベストプラクティスの概要が必要であれば、このユーザーに負担をかけないMicrosoft 365の堅牢なセキュリティガイドをご覧ください。以下のFAQ、専門家のヒント、まとめでは、今日からMFA疲労攻撃を食い止め、今後も進化し続ける脅威に備えるための明確な行動計画をご紹介します。

MFA疲労攻撃に関するよくある質問

MFA疲労攻撃の兆候はどのように見分けられますか？ MFAプロンプトのアクティビティが急増していないか、業務時間外に繰り返し要求が届いていないか、またはユーザーから「おかしな」通知があったという報告がないかを確認してください。
MFAは今でも有効ですか？ はい。MFAは依然として中核的なセキュリティ制御です。ただし、プロンプトベースの方式（特にプッシュ通知）は、追加の保護策がないと脆弱になる可能性があります。
ユーザーが大量のプロンプトを受け取った場合、どうすればよいですか？ 直ちに拒否して報告してください。自分が開始していない要求は決して承認せず、IT部門に知らせて迅速に対応してもらいましょう。
パスワードがなくても攻撃者は侵入できますか？ 認証情報がすでに侵害されている場合にのみ可能です。ただし、MFA疲労攻撃をフィッシング、トークン窃取、デバイスの乗っ取りと組み合わせると、攻撃の成功率が高まります。

セキュリティ専門家のヒントと最終的な推奨事項

番号照合とFIDO2キーを導入する： 単に「承認をタップする」従来の方法を見直し、フィッシングと疲労攻撃に強いツールへ移行してください。
厳格で包括的な条件付きアクセスポリシーを適用する: 除外設定の陰に隠れるのはやめ、すべてのポリシーをリスクの観点から見直してください。
定期的なユーザー向け啓発セッションを実施する: 不審な MFA の動きを見分け、報告する方法を職員に教えてください。
ログを監査し、異常を監視する: 高度な検出には Microsoft Purview と Sentinel を活用してください。
インシデント対応プレイブックを用意する: 攻撃を受ける前に、封じ込め、調査、復旧の手順を把握しておいてください。

まとめ: 明日の脅威に今すぐ対処する

セキュリティレポートによると、2023 年の主要な ID 侵害の 15% を超える事例に、何らかの形で MFA 疲労攻撃やプッシュ型攻撃が関わっていました。攻撃者は、技術対策だけに頼り、準備と意識向上を怠っている組織につけ込みます。最後の決め手は、依然として人の判断です。

教訓は明確です。FIDO2、AI による分析、堅牢なポリシー制御などの技術と、継続的なユーザー教育を組み合わせることで、組織は優位に立てます。成功のカギは、主体的な変更にあります。強固な構成、明確なポリシー、そして疲労や混乱の入り込む余地のないインシデント対応計画です。

MFA 疲労攻撃は単なる厄介事ではありません。ユーザー、データ、そして事業全体を狙う進化した攻撃手法です。今すぐ行動し、次に来るものに備えてください。