JA
English
Deutsch
Español
Français
Italiano
Português
Nederlands
Polski
Bahasa Indonesia
Русский
Українська
العربية
עברית
한국어なぜ必要なときにMFAが適用されないのか：Microsoft環境での原因と対策
By Mirko Peters ·
多要素認証（MFA）は、Microsoft 365やAzureにおける最後の砦です。パスワードが盗まれても攻撃者の侵入を防ぎます。しかし、本来適用されるべき場面でその防御が機能していなければどうなるでしょうか。ここでいう「本来」とは、リスクの高いサインイン、管理者アカウントのログイン、通常とは異なる場所からのアクセスといった重要な場面を指します。こうした場面でMFAが発動しなければ、明らかに露出した状態にあると言えます。
Automatically translated with AI from the original post. Read the English original
多要素認証（MFA）は、Microsoft 365やAzureにおける最後の砦です。パスワードが盗まれても攻撃者の侵入を防ぎます。しかし、その砦が本来あるべき場面で機能していなかったらどうなるでしょうか。ここでいう「本来あるべき場面」とは、リスクの高いサインイン、管理者アカウントのログイン、普段とは異なる場所からのアクセスといった重要な瞬間を指します。こうした場面でMFAが発動しないのであれば、そこは明確にリスクにさらされている状態です。
こうした適用漏れは、技術的な問題、分かりにくいポリシー設定、さらにはエンドユーザーによる回避策が組み合わさって発生することがよくあります。レガシー認証アプリ、不十分な条件付きアクセスポリシー、ユーザーの適用範囲の抜けなどが原因となる場合もあります。原因が何であれ、最も重要な場面でMFAが欠けていれば、攻撃者に侵入の余地を与え、深刻なセキュリティ上の問題を生みます。
こうした適用の抜け穴を理解し、修正することは、データを確実に保護するうえで欠かせません。トークン窃取やOAuthの悪用によって攻撃者がこうした隙をどのように突くのか、実際の事例を知りたい方は、このMicrosoft 365 侵害の詳細解説をご覧ください。その影響の大きさがよく分かります。
MFAが発動しない場面と原因の理解
MFAの強度は、その背後にあるポリシーと技術次第です。厄介なのは、設定を正しく行ったと確信している場合でも、特に重要なユーザーやリスクの高いサインイン時に、MFAが静かに発動しないケースが多数存在することです。
よくある原因の一つが、条件付きアクセスポリシーの設定ミスです。「利便性のため」にVIPユーザーが除外されていたり、広範なアクセス許可を持つテスト用アカウントがMFAなしで残っていたりします。こうした除外は導入時には無害に見えるかもしれませんが、防御に穴を開けてしまう可能性があります。ポリシーを定期的に見直していなければ、どのダッシュボードも警告してくれない、目に見えないセキュリティ上の欠落が生じかねません。
レガシーアプリも厄介な問題です。Exchange ActiveSyncや一部のデスクトップ用メールクライアントなどは、古い認証方式を使用しており、既定では最新のMFAを迂回してしまいます。これらのブラウザー以外のアプリは基本認証に依存しており、新しく導入したMFA設定とは互換性がありません。その結果、管理の及ばない場所でサインインが行われてしまう可能性があります。
そしてユーザーの行動も忘れてはなりません。古いアプリに接続するために「アプリパスワード」を作成するユーザーがおり、これはMFAを完全に迂回します。また、リスクのある同意プロンプトを通じて、意図せずサードパーティアプリにOAuthのアクセス許可を与えてしまうユーザーもいます。これにより、MFAの要求を一度も受けることのない裏口が攻撃者に開かれてしまいます。ユーザーはリスクに気づかないままMFAを回避できてしまうため、ここでガバナンスが重要になります。
ハイブリッド環境やマルチクラウド環境を運用している組織では、こうした抜け穴は増えていきます。どのユーザーやどのリソースにMFAが適用されているかを体系的に監査していなければ、重大な露出を見落としている可能性があります。プラットフォームをまたいでIDのダッシュボードを確認することが、実際のカバレッジを把握する唯一の方法です。MFAがどこで機能しないのかを知ることは、制御を強化し、どこから、どのような方法でサインインが行われても保護するための土台となります。
フィッシング耐性のあるMFA方式を導入し、安全な認証を実現する
標準のMFAは有効ですが、プッシュ疲労攻撃、フィッシングの通知、トークン窃取によってユーザーを欺く方法を攻撃者が見つけてしまうことがあります。そのため、最新の攻撃を確実に防ぎたいのであれば、フィッシング耐性のあるMFAへの移行が本当に重要です。
認証アプリでの番号一致は、確実な改善策です。単純なプッシュ承認ではなく、ユーザーが入力しなければならないコードが表示されるため、プロンプト爆撃によってユーザーを欺くことはほぼ不可能になります。Microsoftやほかのベンダーもこれを強く推進しており、新しいMFA設定では既定で有効になっています。最近話題となった大規模な侵害で使われた、こうした巧妙なプロンプト爆撃の手口に直接対処するものです。
YubiKeyやFIDO2トークンなどの物理セキュリティキーは、さらに一歩進んだ対策です。これらのキーはフィッシングされることがなく、共有シークレットにも依存しません。機密性の高い環境や、管理者・経営層にとっては、これはまさに「ロックダウンモード」に近いものです。大半の実際の攻撃手法を確実に阻止する、ハードウェアベースの認証です。
使いやすさを犠牲にする必要もありません。最新のパスワードレスサインインオプションと、Microsoft 365 や Defender などのプラットフォームとの強力な統合により、フィッシング耐性のある MFA を既存のワークフローに組み込めます。条件付きアクセスと高度な脅威保護を、ユーザーにとって使いやすい形で統合した実例については、M365 のセキュリティ設定に関するガイドをご覧ください。フィッシング耐性のある MFA への移行は「あると望ましい」ものではなく、巧妙な攻撃者から守るための新たな基準になりつつあります。
Microsoft Entra ID を使った中小企業向けのコストゼロの MFA 導入
中小企業であれば、強力な MFA を導入するために大きな予算や特別なライセンスは必要ありません。Microsoft Entra ID（旧 Azure AD）には、数回のクリックで有効化できるセキュリティの既定値が用意されています。
Entra 管理センターでセキュリティの既定値を有効にしてください。これにより、すべてのユーザーに対して MFA が即座に適用されます。複雑なポリシーの作成や追加ライセンスは不要です。さらに、これらの事前構成済みの設定は初期状態のままで機能し、アカウント侵害に対する基本的な保護を提供するとともに、レガシ認証プロトコルを既定でブロックします。
円滑に展開することが重要です。新しいプロンプトに誰も戸惑わないよう、事前にユーザーに周知してください。MFA ツールや認証アプリに不慣れなユーザーをサポートしてください。可能であれば、まずパイロットグループでテストし、重要な業務アプリやサービスアカウントで予期しない問題が起きないことを確認してください。
大切なのは、「設定したら放置する」ことを避けることです。セキュリティの既定値の対象ユーザーを定期的に見直し、すり抜けているアカウントがないか確認してください。より細かい制御が必要になった場合は、段階的に条件付きアクセスの導入を検討してください。ただし、まずはシンプルかつ安全な構成から始めてください。安全な展開計画と、見落とされがちなギャップを埋めるためのアイデアについては、この実践的な条件付きアクセスのガイドで、注意すべき落とし穴と対策を解説しています。
ビジネス向け MFA：ポリシーの適用とリスク軽減のベストプラクティス
- 利便性を理由にした例外なしで、MFA をすべてに適用してください。 管理者だけでなく、すべてのユーザーアカウントが MFA ポリシーの対象になっていることを確認してください。対象には、臨時スタッフ、ベンダー、役員のアカウントも含まれます。例外は最小限にとどめ、必ず期間を限定し、明確なビジネス上の正当性を持たせてください。
- サービスアカウントや人以外のアカウントは、最新のソリューションで保護してください。 従来型のサービスアカウントは、MFA の大きな抜け穴になりがちです。Entra ワークロード ID などのツールを使って、マネージド認証に移行し、ライフサイクル管理と監査能力を確保してください。このアプローチの詳細は、人以外のアカウントのリスクに関する解説をご覧ください。
- 適切なトレーニングとサポートを用意して、ユーザーを導入してください。 ユーザーが認証アプリや物理トークンを設定できるよう支援し、MFA が重要な理由を伝えてください。展開中はヘルプデスクのサポートを提供し、番号の一致などの新しい MFA プロンプトに不慣れなユーザーには特に丁寧に対応してください。
- MFA のバイパスの試みと異常なサインインを監視してください。 高リスクと想定される場面で MFA が適用されていない場合や、レガシプロトコルが通過している場合を検出できるよう、アラートとログを設定してください。可能な限りインシデント対応を自動化し、リスクの高いサインインに対してパスワードのリセットや MFA のステップアップ認証を実行してください。
- MFA の適用範囲とポリシーの遵守状況を定期的に監査してください。 適用範囲が「設定済み」だと思い込まないでください。Microsoft 365 と、マルチクラウド環境の場合はほかのプラットフォームにわたる ID ダッシュボードとレポートを活用してください。結果は分かりやすいレポートにまとめ、IT 部門と経営層がリスクの残っている箇所を把握できるようにしてください。効果的なガバナンスは、ボタンやスイッチの設定にとどまりません。より深い知見については、M365 のガバナンスの失敗から得られる教訓をご確認ください。
このチェックリストに従えば、攻撃者がどれほど巧妙な手法を用いても、MFA をすり抜けるリスクを大幅に減らせます。一貫性のあるポリシー、明確なルール、定期的な見直しによって、保護を強固に保ち、抜け穴をふさぐことができます。