MFAファティーグ攻撃 とは？

プッシュ通知型MFAで「承認しますか？」という要求を繰り返し発生させ、疲れや混乱で許可してしまうことを狙う攻撃だよ。たとえばパスワードを入手した攻撃者がログインを繰り返すと、認証サービスが本人のスマホへ通知を送るんだ。

そう。「通知を止めたい」「どれかは自分の操作かも」と思わせ、身に覚えのない要求を承認させようとする。回数や時間帯は固定ではないよ。承認しても通知の原因を解決したことにはならず、攻撃者へアクセスを許すおそれがあるんだ。

認証アプリでも、単に承認を押すプッシュ方式はこの攻撃の対象になるよ。アプリへ切り替えるだけで防げるとは限らない。MFA自体をやめるのではなく、承認の仕方と不審な要求への対応を見直すんだ。

Number Matchingは、自分が操作しているログイン画面の数字を認証アプリへ入力して照合する方式だよ。単なる誤タップを減らすけど、フィッシング耐性のあるMFAと同じ強さではない。不審な要求は承認せずIT部門などへ報告し、認証情報の漏えいも調査しよう。パスキーやセキュリティキーなど、フィッシング耐性のある方式への移行も対策になるよ。