1. 結論：MFAの「方式」によっては十分ではない
「多要素認証（MFA）を導入したから、もう安全」——そう考えている方は多いでしょう。パスワードに加えて、もう1つの認証要素を求めるMFAは、確かに強力な対策です。では、「MFAだけで十分」なのでしょうか。結論からお答えします。
MFAは非常に重要ですが、その「方式」によっては、十分とは言えません。MFAには様々な方式があり、その強さには大きな差があります。特に、SMSのワンタイムパスワードやプッシュ承認といった方式のMFAは、近年の巧妙な攻撃によって突破される事例が報告されています。「MFAを入れたか」だけでなく、「どの方式のMFAか」が問われる時代になっているのです。そして、その答えが「フィッシング耐性のあるMFA」です。順に解説します。
2. まず前提——MFAは非常に重要
誤解のないように、まず強調しておきます。MFAの導入は、極めて重要で効果的な対策です。MFAを「不十分」と言うのは、「MFAをやめてよい」という意味では決してありません。
パスワードだけの認証は、パスワードが漏れた瞬間に突破されます。リスト型攻撃、フィッシング、漏えい——パスワードは様々な形で盗まれます。MFAがあれば、パスワードが漏れても、もう1つの認証要素がなければログインできません。これだけで、多くの攻撃を防げます。実際、主要なセキュリティガイドラインは、MFAの導入を最優先の基本対策として強く推奨しています。ですから、まだMFAを導入していないなら、まずはどんな方式であれMFAを導入することが最優先です。その前提の上で、「では、そのMFAで十分か」という次の問いを考えていきましょう。
3. 突破されるMFAがある
MFAを導入していても安心できない理由は、一部のMFA方式が、巧妙な攻撃で突破されうるからです。代表的な突破手口を見てみましょう。
- リアルタイムの中間者攻撃（AiTM）：攻撃者が偽サイトを本物とユーザーの間に挟み、ユーザーが入力したパスワードとワンタイムパスワードを、リアルタイムで本物のサイトに転送する。ユーザーは正しく入力しているのに、認証後のセッションが盗まれる。SMS・ワンタイムパスワード・プッシュ承認は、この手口で突破されうる。
- MFA疲労攻撃（プッシュ爆撃）：プッシュ承認型のMFAで、攻撃者が何度も承認通知を送りつけ、ユーザーが根負けして承認してしまうのを狙う。
- SIMスワップ：電話番号を乗っ取って、SMSのワンタイムパスワードを攻撃者が受け取る。
これらの手口は、実際の大規模な侵害でも使われてきました。重要なのは、これらの攻撃は「ユーザーが正しく認証している」のに突破されるという点です。ユーザーは偽サイトを本物だと信じて、正しいパスワードとワンタイムパスワードを入力します。だから、ユーザーもシステムも、攻撃に気づけません。SMSやワンタイムパスワードによるMFAは、パスワードだけよりは格段に安全ですが、こうした巧妙な攻撃に対しては、万全とは言えないのです。
「MFAを入れた」で安心しきらない
MFAを導入したことで安心し、それ以上の対策を止めてしまうのは危険です。SMSやワンタイムパスワードのMFAは、フィッシングやAiTM攻撃で突破される事例が現実に出ています。特に、攻撃者が本気で狙う重要なシステムや特権アクセスでは、「MFAを入れた」で満足せず、より強い方式へ進むことが求められます。
そのMFA、フィッシングに耐えられますか？
突破されうるMFAから、フィッシング耐性のあるMFAへ。Net Peaceが、FIDO2/パスキーへの移行を支援します。
4. 答えは「フィッシング耐性のあるMFA」
突破されうるMFAがある——では、どうすればよいのでしょうか。答えは、「フィッシング耐性のあるMFA」を使うことです。これは、フィッシングやAiTM攻撃で突破されない仕組みを持つMFAのことで、具体的にはFIDO2/パスキーや、公開鍵暗号を使うスマートカードなどが該当します。
なぜフィッシング耐性のあるMFAは突破されないのでしょうか。FIDO2/パスキーの場合、認証が正規のドメイン（サイト）に暗号的に紐づいているため、偽サイトでは認証が成立しません。ユーザーが偽サイトにアクセスしても、認証器はそのドメイン向けの正しい応答を作らないため、攻撃者が通信を中継しても意味がないのです。また、盗んで悪用できるパスワードやワンタイムパスワードが存在しないため、そもそも「入力させて盗む」というフィッシングの目的自体が成立しません。
そして重要なのは、FIDO2/パスキーは、フィッシング耐性のあるMFAであると同時に、パスワードレス認証でもあるということです。パスワードの代わりに端末内の鍵を使い、生体認証やPINで本人確認します。つまり、「MFAだけで十分か」という問いを突き詰めると、たどり着く答えは、パスワードにもSMSにも頼らない、フィッシング耐性のあるパスワードレス認証なのです。米国NISTの最新ガイドラインも、こうしたフィッシング耐性認証を明確に位置づけており、世界の方向性はここに向かっています。「MFAを入れたか」から「フィッシング耐性のあるパスワードレスにしたか」へ——これが、認証の進むべき道です。
5. まとめ
「MFAだけで十分か」という質問に、あらためて答えます。MFAは極めて重要ですが、その方式によっては十分とは言えません。SMSやワンタイムパスワード、プッシュ承認によるMFAは、パスワードだけよりは格段に安全ですが、フィッシングやAiTM攻撃、MFA疲労攻撃で突破される事例が出ています。まだMFAがないならまず導入することが最優先ですが、その先に「方式の強さ」という論点があるのです。
目指すべき答えは、フィッシング耐性のあるMFA、すなわちFIDO2/パスキーによるパスワードレス認証です。偽サイトでは成立せず、盗めるパスワードもないため、フィッシングにもAiTMにも耐えられます。世界のガイドラインも、この方向を明確に示しています。自社のMFAが、SMSやワンタイムパスワードだけに頼っていないか——特に重要なシステムや特権アクセスで、フィッシングに耐えられる方式になっているか、点検してみることをおすすめします。「MFAを入れた」の先の、フィッシング耐性のあるパスワードレスへ進むことが、これからの認証の答えです。