MFAでアカウント乗っ取りの脅威を解決できるのか？

Jim Downey

クレデンシャルスタッフィングによるアカウント乗っ取り詐欺を企てる犯罪者にとって、多要素認証（MFA）は障壁となります。しかし、攻撃者はMFAを回避する手法を見つけており、MFAだけではアカウント乗っ取りの脅威を排除できません。企業はMFAのセキュリティを強化するため、ボット対策やコンテキストに基づくリスクの監視など、追加の対策を講じる必要があります。

弱点はあるものの、MFAは大きな前進です。パスワードのみによる認証が明らかに機能していないためです。人間は長い文字列を覚えきれないため、単純で推測されやすいパスワードを選んだり、複数のアプリケーションで同じパスワードを使い回したりしがちです。こうした行動が、多くのセキュリティ侵害につながっています。

しかし、パスワード認証の破綻とMFAの普及に伴い、次のようなMFAを狙う攻撃が増加しています。

リアルタイムフィッシングプロキシ

リアルタイムフィッシングプロキシ（RTPP）攻撃では、詐欺師がフィッシングメッセージを使い、信頼できるサイトに見せかけた攻撃者管理下のサイトへユーザーを誘導します。そして、認証情報を入力させ、SMSメッセージまたはプッシュ通知による第2要素認証のリクエストを承認させます。RTPPは認証情報を標的のアプリに転送し、アクセス権を取得します。この攻撃のデモについては、動画（ハッカー兼セキュリティコンサルタントのKevin Mitnick氏による）をご覧ください。また、リアルタイムフィッシングプロキシの増加に関する背景については、F5 Labsフィッシングおよび不正行為レポートをご覧ください。

MFA爆撃

In MFAボミング攻撃では、攻撃者が認証コードを求める不正なリクエストを何度も送信し、標的をだまして認証コードを提供させます。この手口は、プッシュ通知に依存する認証アプリに対して特に効果を発揮します。ユーザーがボタンを押すだけで、大量のリクエストを簡単に止められるためです。攻撃者は、MFAボミングとソーシャルエンジニアリングを組み合わせ、ユーザーにプッシュ通知を承認させてアクセス権を取得することもあります。

生体認証のなりすまし

攻撃者は、生体認証さえも回避しています。私たちは触れたほぼすべての滑らかな表面に指紋を残しており、攻撃者はそれを採取し、3Dプリンターからグミの材料まで、さまざまなものを使って複製できるためです。セキュリティ研究者は、顔認証や音声認証のほか、虹彩スキャンのなりすましにも成功しています。ベンダーは回避の試みを検知するため、ライブネスチェックなどのなりすまし対策技術を開発していますが、攻撃者の手法が高度化するにつれ、どの生体認証デバイスも脆弱になる可能性があります。

SIMスワッピング

SIMスワッピングとは、サービスプロバイダーが電話番号を別のデバイスに移行できる仕組みを、詐欺師が悪用する手口です。詐欺師は被害者の個人情報を収集したうえで、サポート担当者をソーシャルエンジニアリングによって欺き、被害者の電話番号を詐欺師のSIMに移行させます。被害者の電話サービスを掌握すると、ユーザー宛てのテキストメッセージを受信できるようになり、ワンタイムパスワード（OTP）を傍受してMFAを回避できます。

MFAセキュリティの強化

MFAはパスワードのみによる認証を大幅に改善するものであり、今後も利用され続けるため、サイバーセキュリティの専門家はその脆弱性に対処する必要があります。

まずは、ボットを緩和することが有効です。攻撃者はパスワードの使い回しを悪用し、盗んだ認証情報をログイン画面で試すためにボットを展開します。これはOWASPが「クレデンシャルスタッフィング」と定義する手法で、MFAの第1認証要素を突破するものです。また、攻撃者はRTPP攻撃でもボットを使用し、OTPの有効期限が切れる前に標的サイトへ転送します。同様に、MFAボミングもボットに依存する自動攻撃です。効果的なボット管理ソリューションを導入することで、セキュリティチームは、攻撃者がMFAバイパス手法を大規模に実行するために利用する重要なツールを排除できます。

MFAの脆弱性を軽減するもう1つの方法は、コンテキストに基づくリスクを考慮することです。このリスクは、ユーザーのIPアドレス、ISP、所在地、時間帯、デバイス、アクセスした機能、行動から判断できます。これらの情報を使用して、ユーザーがアプリケーション内を移動する際のリスクスコアを算出できます。スコアが高いほど認証要件は厳格になり、最終的にアカウントが無効化される場合もあります。

次のステップ

今後も、パスワードの終焉が繰り返し宣言され、新たなMFA技術によって認証のセキュリティが完全に確保されるという過度な期待が広がるでしょう。しかし、執拗な攻撃者が新たな実装を回避する手段は残るため、MFAの脆弱性を継続的に分析し、軽減する必要があります。MFAがアカウント乗っ取りを防ぐための第一歩にすぎない理由について詳しくは、新しいF5ホワイトペーパーをご覧ください。F5と連携することで、カスタマーエクスペリエンスを最適化しながらMFAのセキュリティを強化できます。詳しくは、F5 Distributed Cloud Servicesをご覧いただき、お申し込みのうえ、F5のチームにご相談ください。

著者について

Jim Downey

Jim Downeyのその他のブログ記事