SC情報セキュリティマネジメントの推進又は支援に関すること · 情報セキュリティに関する動向・事例の収集と分析

多要素認証疲労攻撃

MFA Fatigue Attack

たようそにんしょうひろうこうげき

窃取したIDとパスワードで認証を繰り返し、利用者のスマートフォンへプッシュ通知による承認要求を大量に送りつけて、根負けした利用者に承認させる攻撃。番号照合型の確認や試行回数の制限が対策となる。

共有:

Past Exams

過去問での出題

過去問で 1 回出題（プロジェクトマネージャ試験 1）。うち 1 回は用語そのものを問う問題です。

出典: 独立行政法人情報処理推進機構（IPA）の過去問題。問題文は IPA のサイトの PDF で確認できます。「用語を問う問題」は、この用語の説明や特徴そのものを問う問題です。用語名で照合しているため、関係の薄い問題が含まれることがあります。

辞書に載っている単語や人名、よく使われる文字列を候補としてパスワードを試行する攻撃。単純な単語をパスワードにしていると短時間で破られる。アカウントロックや推測されにくいパスワード規則で対策する。

考えられるすべての文字の組合せを機械的に試してパスワードや鍵を解読する総当たり攻撃。パスワードの文字種と桁数を増やすほど試行回数が指数的に増え、現実的な時間で破れなくなる。アカウントロックも有効な対策。

パスワードを固定し、利用者IDのほうを次々と変えて試行する攻撃。1つのアカウントへの連続失敗にならないため、アカウントロック機能では検知しにくい。同一IPからの試行回数の監視などが対策となる。

パスワードのハッシュ値と平文の対応を効率的に圧縮した表（レインボーテーブル）を用いて、窃取したハッシュ値から元のパスワードを高速に逆引きする攻撃。ソルトを付与してハッシュ化すれば事前計算した表が使えなくなる。

他のサービスから漏えいしたIDとパスワードの組をそのまま別のサービスで試行する攻撃。クレデンシャルスタッフィングとも呼ばれ、パスワードの使い回しが被害を拡大させる。多要素認証やリスクベース認証が有効な対策。

攻撃者があらかじめ用意したセッションIDを利用者に使わせ、その利用者が認証を済ませた後に同じIDでセッションを乗っ取る攻撃。認証成功時にセッションIDを再発行することが基本的な対策となる。