MFA疲労攻撃(プッシュ爆撃)とは?承認通知を連打されたときの対処法

結論: MFA疲労攻撃(プッシュ爆撃)は、パスワードを知った攻撃者が、ログインを何度も試して「承認しますか?」の通知を連打し、利用者が疲れて、または間違えて**「承認」を押す**のを待つ手口です。身に覚えのない承認通知が届いたら、**必ず「拒否」**して、パスワードを変えましょう。通知が来た時点で、パスワードが漏れている可能性があるからです。

MFA疲労攻撃とは

MFA(多要素認証)は、パスワードに加えて、もう1つの確認を求める仕組みです。その確認の方法の1つに、スマホに「ログインしようとしています。承認しますか?」というプッシュ通知を送り、承認ボタンを押すと進める方式があります。

MFA疲労攻撃は、この方式を狙います。

1. 攻撃者が、何らかの方法で、IDとパスワードを手に入れる(流出や、パスワードの使い回し、フィッシングなど)
2. そのIDとパスワードで、ログインを試すと、本人のスマホに、承認の通知が届く
3. 攻撃者は、これを何度も繰り返す。深夜や、会議中にも、通知が鳴り続ける
4. 利用者が、通知を止めたくて、または間違って「承認」を押すと、ログインが成功する

「疲労」という名前は、通知に疲れた利用者が、判断をやめてしまうことからきています。「プッシュ爆撃」とも呼ばれます。

なぜ効くのか

この手口は、技術的な弱点というより、人の心理を突いています。

• 通知を止めたいという気持ちが、慎重さに勝ってしまう
• 「何かのシステムの確認だろう」と、深く考えずに押す癖がついている
• 攻撃者が、**電話やメッセージで、「システムの確認です、承認してください」**と、本人をだます手口と組み合わせることもある

2022年には、米国の配車大手Uberでも、この手口が使われたと報じられました。多要素認証を入れていても、安心しきれないことを示す例として、よく取り上げられます。

承認通知が届いたら:対処法

① 「自分が今、ログインしたか」だけを考える

通知が届いたら、自分が今、そのサービスにログインしようとしたかだけを考えます。心当たりがなければ、**迷わず「拒否」**です。「止めたいから」という理由で、承認を押してはいけません。

② 拒否したあとで、パスワードを変える

通知が来たということは、誰かが、あなたのIDとパスワードでログインを試したということです。パスワードが漏れている可能性が高いので、すぐに変更します。他のサービスで同じパスワードを使っているなら、そちらも変えます。使い回しの怖さは、リスト型攻撃とは?で解説しています。

③ 会社のアカウントなら、すぐに報告する

仕事のアカウントなら、情報システムの担当者に連絡します。「通知を拒否したから、大丈夫」と自己判断せず、会社側で、ログや、他の不審なログインがないかを確認してもらいます。

④ 電話やメッセージの「承認してください」は、すべて疑う

「サポートです。今から通知が行くので、承認してください」という連絡は、本物のサポートがしないやり方です。連絡が来たら、公式の窓口に、自分から確認します。

仕組みでできる対策

個人が気をつけるだけでなく、サービスや会社の側で、そもそも押させない仕組みにするのが、強い対策です。

• 番号照合(ナンバーマッチング):ログインの画面に表示された数字を、スマホで入力させる方式。画面を見ていない人は、答えられません。Microsoftなど、一部のサービスで導入されています。
• パスキー・セキュリティキー:承認ボタンのない認証方式。ログインする端末や、物理キーがなければ通らないので、通知を連打されても、意味がありません。比較は、二段階認証の方式の違いや、2段階認証とパスキーの違いで解説しています。
• 通知の回数制限や、異常の検知:短時間に承認の要求が続いたら、自動で止める、管理者に知らせるといった設定。

導入の現場で感じること

二段階認証を導入してもらうとき、最初は「面倒」という反応が出ることが、よくあります。でも、乗っ取りのリスクを説明すると、納得してもらえることが多いです。ただ、導入のあとで、**「通知が来たらどうするか」**まで決めておかないと、せっかくの仕組みが、うっかり承認で破られてしまいます。

「入れる」ことと、「正しく使う」ことは、別です。通知は、必ず自分の操作のときだけ承認するという、簡単なルールを、家族や同僚と共有しておくだけでも、被害を減らせます。

まとめ

• MFA疲労攻撃は、承認通知を連打して、うっかり承認させる手口。
• 通知が来たら、拒否→パスワード変更。会社のアカウントなら、すぐ報告。
• 番号照合や、パスキー・セキュリティキーなど、承認ボタンのない方式が、仕組みとしては強い。

アカウントがロックされてしまった場合は、アカウントがロックされたときの対処法も参考にしてください。