なぜSMSテキストメッセージによるMFAはMicrosoft 365で安全ではなくなったのか

By Mirko Peters · 2026-10-26

SMSテキストメッセージによる多要素認証が、SIMスワップやフィッシングに対してMicrosoft 365テナントを脆弱にする理由と、代わりに使うべき方法を解説します。

Automatically translated with AI from the original post. Read the English original

SMSテキストメッセージによる多要素認証は、長らく管理者とエンドユーザーの双方にとって標準の第2要素となってきました。しかし、従来型の電話網に依存しているため、SIMスワップや標的型フィッシングといった現代のサイバー攻撃に対して、非常に脆弱になっています。

重要なポイント

• SMSベースの多要素認証は公衆電話網に依存しているため、傍受やSIMスワップの影響を受けやすくなっています。
• Googleと Verizon の調査によると、標的型フィッシング攻撃に対しては、テキストコードは最新のプッシュ通知やパスキーよりもはるかに高い確率で破られています。
• Verizonの侵害調査レポートも、サインイン検証にSMSテキストコードを使用しないよう明確に勧めています。
• SMSから移行する際は、ヘルプデスクの負荷増加や恒久的なアカウントロックアウトを防ぐため、複数の検証方法を併用する計画が必要です。

SMSコードがもたらす安全性の錯覚

組織が多要素認証を初めて導入するとき、テキストメッセージは有効な手段に見えることが多いものです。対応範囲が広く、ソフトウェアのインストールも不要で、ほぼすべてのモバイル端末で動作します。しかし、セキュリティアーキテクチャの観点から見ると、SMSは堅牢な本人確認の基本原則に反しています。配信の仕組みそのものに欠陥があるのです。

SMSテキストメッセージは、標準的な通信網を経由して携帯端末に届きます。このインフラは数十年前に、セキュリティをほとんど考慮せずに設計されたため、傍受、転送、改ざんされるおそれがあります。犯罪者はSIMスワップと呼ばれる手法で、この脆弱性を日常的に悪用しています。携帯電話会社のサポート担当者を巧みに欺き、攻撃者が所有するスマートフォンのSIMカードへ電話番号を移します。いったん移行が完了すると、そのアカウント宛てのすべての認証コードが攻撃者に直接届くようになります。

テキストメッセージによる多要素認証に関する調査結果

セキュリティデータは、SMS検証の有効性について厳しい実態を示しています。テキストベースのコードは、自動化された低労力の資格情報の総当たり攻撃(クレデンシャルスタッフィング)に対しては十分な防御を提供しますが、実在する人間の攻撃者が関与すると、その有効性は大きく低下します。

Googleによる画期的なセキュリティ調査では、SMSコードは大量送信型のフィッシングの約96%を防いでいた一方、標的型キャンペーンに対しては効果が大きく低下することが明らかになりました。攻撃者が特定の個人や組織に狙いを定めると、テキストコードは信頼できる保護を提供できません。そのため、主要なサイバーセキュリティのフレームワークや、Verizonのレポートを含む毎年の侵害調査では、サインイン検証のためのテキストメッセージと音声通話を段階的に廃止するよう、明確に推奨されるようになっています。

中間者攻撃(AiTM)

入力するコードには、どの方式にも共通する限界があります。それは、通信を横取りされうるということです。AiTM（Adversary-in-the-Middle）攻撃では、悪意のある攻撃者がMicrosoft 365のサインインページを、ピクセル単位で本物と見分けがつかないほど精巧に複製したものを用意します。この偽のポータルにパスワードとSMSコードを入力すると、プロキシが認証情報を即座に本物のサービスへ転送します。システムはアクセスを許可し、攻撃者はアクティブなセッション トークンを取得します。有効なコードを入力していても、防御は完全に迂回されてしまうのです。

SMSから最新の代替手段への移行

テキストメッセージから離れるには、利用可能な第2要素の階層を理解する必要があります。Microsoft 365環境を真に保護するには、再利用可能な秘密情報や通信事業者への依存を排除する方式へ、ユーザーを移行させる必要があります。

認証アプリと数字一致

認証アプリは、SMSから大きく前進する手段です。デバイス上でローカルに時間ベースのワンタイムパスワードを生成するため、電話網をまったく経由しません。さらに、Microsoft Authenticator アプリのようなエンタープライズ向けソリューションを使う場合、数字一致などの機能によってプロンプトボミング攻撃を無効化できます。ユーザーはサインイン画面に表示されたランダムな数字を確認し、モバイルアプリに入力します。これにより、自分が開始したサインイン要求だけを、意識的に承認することになります。

フィッシングに強いパスキーとセキュリティ キー

最新の認証における最高の基準は、フィッシングに強いハードウェア キーまたはプラットフォーム パスキーです。これらの仕組みは公開鍵暗号に基づいています。デバイスは、ハードウェアの外に決して出ない秘密鍵を保持しています。認証時にサイトが暗号化されたチャレンジを発行し、デバイスがそれに署名します。偽のフィッシングサイトはこの署名を偽造できないため、AiTM攻撃は完全に無力化されます。Microsoft 自身の指標によれば、パスキーによるサインインは、従来のパスワードと標準的なMFAプロンプトの組み合わせよりも大幅に高速です。強固なセキュリティがユーザー エクスペリエンスを犠牲にする必要はないことが、これで示されています。

組織における移行の管理

SMS認証を禁止するポリシーは、慎重に扱わないと反発を招くことがあります。IT管理者は展開を戦略的に計画する必要があります。まず、グローバル管理者、財務担当者、重要なインフラ ポータルにアクセスできるユーザーなど、リスクの高いアカウントから着手します。ユーザーには少なくとも2つの有効な確認方法を提供し、電話を紛失または機種変更した際に正当なユーザーがアカウントからロックアウトされないよう、明確で検証済みの復旧手順を用意してください。

まとめと次のステップ

どのような多要素認証であっても、単体のパスワードに頼るよりも確実に優れています。しかし、SMSのテキストコードを使い続けると、最新のクラウド環境は防ぎうるリスクにさらされたままになります。数字一致付きの認証アプリや、完全にフィッシングに強いパスキーへ移行することで、セキュリティの体制はもろい減速帯から、強靭な防御へと変わります。

ID保護、クラウド セキュリティの構成、最新の認証戦略の仕組みをさらに深く知りたい方は、ポッドキャストの関連回もぜひご覧ください。エピソード全編を聴くと、Microsoft 365 と Azure 環境を守るために必要なことを、ぜひご一緒に掘り下げてみてください。

よくある質問

SMSは、なぜ弱い多要素認証の方式と見なされるのですか？

SMSコードは、暗号化されたアプリのチャネルではなく、通信事業者のネットワークを経由して送信されます。そのため、SIMスワップ攻撃に対して脆弱です。SIMスワップ攻撃では、犯罪者が携帯通信会社をだまして、電話番号を自分の管理するデバイスへ移管させます。

Microsoft 365では、管理者がSMS認証を無効にできますか？

はい。Microsoft 365の管理者は、Entra ID の認証方法ポリシーを使って、SMSおよび音声通話のオプションを制限または無効化できます。これにより、ユーザーはMicrosoft Authenticator アプリやFIDO2キーなど、より安全な選択肢へ誘導されます。

認証アプリの数字一致は、どのようにフィッシングを防ぐのですか？

数字一致では、サインイン画面に表示された特定の数字を、ユーザーが認証アプリに入力する必要があります。これにより、プロンプト疲労やAiTM攻撃の最中に、ユーザーが考えずに承認をタップしてしまうことを防ぎます。

エンタープライズ ユーザーにとって、SMSテキストコードの最良の代替手段は何ですか？

FIDO2セキュリティキーとモダンなパスキーは、再利用可能なコードではなく公開鍵暗号に基づき、フィッシングに完全に耐性があるため、最も高いレベルのセキュリティを提供します。