MFAファティーグ攻撃 とは？

攻撃者がMFAの「承認しますか？」という通知を何十回も連続で送りつけて、ユーザーが疲れて誤ってOKを押してしまうことを狙う攻撃だよ。Fatigue（疲労）攻撃とも呼ばれるんだ。

そうだよ。深夜に何十回もMFA通知が届いて、「誰かが自分のアカウントにアクセスしようとしている」と焦ったユーザーが間違えてタップしてしまうんだ。あるいは単純に「もう消えてほしい」と疲れてOKしてしまうこともあるんだよ。

Scattered SpiderというハッカーグループがMGMリゾーツに侵入したとき、このMFAファティーグ攻撃とソーシャルエンジニアリングを組み合わせて使ったことで知られているよ。

「Number Matching」という機能が有効だよ。認証アプリに表示された数字をスマホでも確認して入力しないと承認できない仕組みで、誤タップを防げるんだ。あとは多数のMFA通知が来たらすぐにIT部門に報告することが大切だよ。