毎日、人々は通知に次々と 攻撃されています。これをクリックして、あれを押して、ビープ音、アラーム、ピンポン音、リストは延々と続きます。時々、誰がどんなことを成し遂げているのか不思議に思うことがあります。
何度も繰り返すうちに、それは無意識になり、もはや注意を払わなくなります。「考えずにやる」と言われることがどれだけ多いかを考えてみてください。そして、すべてのサイバー犯罪者は、人々が気を散らされていたり圧倒されていたりする時がチャンスであることを知っています。感情や熟考なしに自動的に行う行動は、簡単に悪用されるのです。
多要素認証 （MFA）は、セキュリティを向上させるための重要なステップとして広く認識されています。リソースにアクセスするためにユーザ名とパスワードだけを要求するのではなく、MFAはパスキー、プッシュ通知による承認、ワンタイムパスワード（OTP）、生体認証、またはハードウェアトークンなど、あなたが誰であるかを識別するための別の「要素」を追加します。MFAはセキュリティを向上させます。なぜなら、たとえ1つの認証情報が侵害された場合でも、理論的には不正なユーザは2番目の認証要件を満たすことができないからです。
MFAの問題は、それが煩わしいことです。他の種類の通知と同様に、MFAの通知が多すぎると、必要な注意を払わなくなることがあります。そして、攻撃者はそれを狙っています。彼らは、ユーザの注意を奪うことによって、気が散ったユーザがセキュアな環境に認証するために必要なMFA認証情報を提供することを期待しています。この戦術は「MFA疲れ」と呼ばれ、企業に対する大規模な侵害が注目を集めているため、より多くの注目を浴びています。 ウーバー, シスコ, ツイッター, ロビンフッド, オクタ, 、 Office 365ユーザー.
MFA疲れは、フィッシング攻撃の一種です。 MITRE ATT&CK フレームワーク, MFA疲れは、「多要素認証（MFA）メカニズムを回避し、ユーザに送信されるMFAリクエストを生成することによってアカウントにアクセスする方法」として定義されます。
この攻撃の仕組みは、ハッカーが従業員のユーザ名とパスワードにアクセスし、それを使ってログインを試みるというものです。それにより、多要素認証のプッシュ通知がトリガーされ、これはMFA疲れに最も脆弱な部分です。通知は、スマートフォンに表示される新しいウィンドウやポップアップボックスで、従業員にリクエストの承認または拒否を求めるものです。「本当にあなたですか？」という画面は非常に一般的であるため、多くの場合、人々はそれを消すためにクリックして、日常業務に戻ろうとします。
攻撃者は、そのような無意識的な確認を何度も模倣し、ユーザが注意を払っていない瞬間を狙います。いくつかのリクエストがうまくいかないと、ハッカーは手法を強化します。時には、ユーザの認証プログラムに複数の通知を送り込み、実質的にその人の電話をスパムのように扱うこともあります。それでもうまくいかない場合、ITスタッフや他の権限を持つ人物になりすまして電話をかけたり、テキストを送ったりして、ユーザにMFA通知を承認させようとするソーシャルエンジニアリングの手法を使うこともあります。
フィッシングメールやマルウェアサイト内のリンクをクリックするのと同様に、MFA（多要素認証）の通知を承認してしまうと、甚大な被害を招く恐れがあります。ハッカーがネットワークに侵入すると、通常はネットワーク内を移動し、他の重要なシステムにアクセスする方法を必死に探そうとします。企業がさまざまな ゼロトラスト 最小権限アクセス、エンドポイント監視、アイデンティティ・ガバナンスといったセキュリティ対策を実施すれば、認証情報の漏洩リスクを低減できるだけでなく、攻撃者による甚大な被害を防ぐことも可能です。しかし、多くの企業には、攻撃者が侵入に利用しうるセキュリティ上の脆弱性が存在しています。 Uberへの攻撃の場合、侵入者は、同社の特権アクセス管理（PAM）プラットフォームにアクセスすることを可能にするスクリプトを発見することができました。.
教育
それは刺激的なハイテクソリューションではないかもしれませんが、ユーザ教育はこのような「プロンプト爆撃」攻撃を成功させないために最も重要な要素です。これは、誰かがあなたのドアをノックしたり、アパートの建物に入るためにブザーを鳴らしたりするのと似ています。窓から外を見たり、「誰ですか？」と尋ねたりせずに入れません。プッシュ通知を受け取ったら、クリックする前に考えてみてください。ログインしていないのに、なぜログインリクエストを承認するのでしょうか？その答えは、絶対に承認すべきではないということです。
適切なテクノロジーを導入する
MFAのリスクについてユーザを教育することは重要ですが、テクノロジーも役立ちます。MFA通知内に追加のコンテキストを提供することで、ユーザは承認するかどうかを判断するための情報を得ることができます。例えば、いくつかのMFAソリューションでは、通知内にタイムスタンプ、アプリケーション、場所を表示します。他のソリューションでは、ウェブログインページに一意のログインコードを表示し、そのコードが通知内の同じコードと一致する必要があります。また、プッシュ通知の代わりにOTPパスコードを使用することも検討できます。OTPはこれらの攻撃に対してより強靭である傾向があります。どのソリューションを選んでも、これらのテクノロジーは、エンドユーザが自分で開始していないリクエストを誤って承認する可能性を減らすことができます。
適応型アクセスを活用する
ソリューションは一律であるべきではありません。コンテキストを活用することで、MFA疲れ攻撃を軽減することができます。これにより、攻撃者が無防備なユーザにスパムを送る能力を制限できます。適応型アクセスや リスクベース認証 は、ログインリクエストを特定の信頼できる場所や既知のデバイスに制限することができます。行動分析は異常なログイン活動を検出するのに役立ち、回数制限は連続する不正なログイン試行を制限することができます。
パスワードレスを利用してみよう
可能であれば、以下の点を検討してください パスワードレス 通知型MFAに代わる手法として。例えば、FIDO2は、認証デバイスとWebアプリケーション間の直接的な暗号化接続を必須とすることで、フィッシングや「中間者攻撃（MitM）」、あるいは「敵対者中間者攻撃（AitM）」に対抗するよう特別に設計されています。 しかし、FIDOのようなフィッシング対策が施された方式であっても、MFAの安全性は認証情報のライフサイクルに左右されます。このライフサイクルは、 MFA登録, から始まり、 デバイスの交換や認証情報のリセットなどのイベント も含まれます。これらの活動は、攻撃者が不正アクセスを得る最も可能性の高い場面の例となります。
常に監視する
最後に、組織は予防が解決策の半分に過ぎないことを認識する必要があります。アイデンティティシステムは、進行中の攻撃の検出と修復にも役立たなければなりません。連続したログイン失敗や過剰なログイン試行は、疑わしい活動の潜在的な兆候の一例です。この情報は、セキュリティ情報およびイベント管理（SIEM）ソリューションに入力され、セキュリティオペレーションスタッフによるさらなる調査に使用されるか、 アイデンティティガバナンス＆管理 （IGA）プラットフォームでアカウントレビューをトリガーするために使用されることがあります。
ユーザを教育し、MFAプロセスに関するより強力な制御を実施することで、組織はMFA疲れのリスクを低減できます。また、取引先が自社のシステムに対して保護を施していることを確認することも重要です。RSAには、ID Plusに関する実践、運用、管理など、セキュリティ対策の概要を提供する ホワイトペーパー があります。また、システムのパフォーマンスやセキュリティに関する最新情報については、 セキュリティページをご覧ください。.
RSAのアプローチはMFA疲れに対してより強靭です。だからこそ、セキュリティを最優先にする企業が私たちに頼り、ビジネスの保護を支援しています。認証リスクや、RSAがどのようにパスワードに依存しないセキュリティへ移行する手助けができるかについて、さらに詳しく知りたい場合は、ソリューションブリーフ 「パスワードレス認証：今こそその時、そして支援があります」をご覧ください。
