1. なぜパスワードは狙われるのか
サイバー攻撃による情報漏えいやランサムウェア被害の多くは、「認証の突破」から始まります。攻撃者は、正規の利用者になりすまして侵入するのが最も効率的だと知っているからです。そして、そのなりすましの標的になるのが、パスワードです。
パスワードは、盗める・漏れる・推測できる・使い回される——攻撃者にとって、狙いどころの多い認証情報です。だからこそ、パスワードを狙うさまざまな攻撃手法が発達してきました。多要素認証（MFA）は、こうした「パスワードを狙う攻撃」に対する、強力な防御策です。ここでは、MFAで具体的にどんな攻撃を防げるのかを見ていきましょう。
2. MFAで防げる代表的な攻撃
| 攻撃 | 手口 | MFAの効果 |
|---|---|---|
| クレデンシャルスタッフィング | 他社から漏れたID・パスワードを使い回して不正ログインを試みる | パスワードが正しくても、2つ目の要素で阻止できる |
| パスワードスプレー攻撃 | 「password123」などありがちなパスワードを多数のアカウントに試す | 推測が当たっても、2つ目の要素で阻止できる |
| ブルートフォース（総当たり） | パスワードを機械的に総当たりで試す | 破られても、2つ目の要素で阻止できる |
| 単純なフィッシング | 偽サイトでパスワードを入力させて盗む | 盗んだパスワードだけではログインできず、被害を防げる |
| 漏えいパスワードの悪用 | 過去に流出したパスワードを使う | 2つ目の要素がなければログインできない |
このように、MFAは「パスワードが攻撃者に知られてしまった後」でも、なりすましを食い止めるという点で極めて有効です。Microsoftは、自社の分析において、MFAがアカウント乗っ取りのリスクを大幅に低減する効果を持つと報告しています。パスワードだけの状態から、MFAありの状態へ——この一歩だけで、防げる攻撃の範囲は劇的に広がります。だからこそ、MFAは「まず取り組むべき最も基本的な対策」なのです。
3. MFAでも防ぎきれない攻撃
MFAは非常に強力ですが、残念ながら「万能」ではありません。パスワードを残したままのMFAには、突破されうる攻撃も存在します。代表的なものを挙げます。
- 中間者型（AiTM）フィッシング：精巧な偽サイトが、パスワードだけでなく、入力された確認コードやログイン後のセッション情報までリアルタイムで盗み取る手口。近年、この手法によりMFAを回避する攻撃が増加していると報告されています。
- MFA疲労攻撃（プッシュ通知爆撃）：攻撃者が何度も承認要求（プッシュ通知）を送りつけ、利用者がうんざりして、あるいは誤って「承認」を押してしまうのを狙う手口。実際に大手企業への侵入で使われた事例があります。
- SIMスワップ：攻撃者が携帯電話番号を乗っ取り、SMSで送られる確認コードを受け取ってしまう手口。
これらの攻撃に共通するのは、「パスワードや確認コードという、盗めるもの」を認証に使っている限り、突破の余地が残るという点です。つまり、MFAの弱点は、パスワードや使い回し可能なコードが残っていること自体にあるのです。
4. 防ぎきれない攻撃への答え——パスワードレス
では、MFAでも防ぎきれないこれらの攻撃を、どう防ぐのか。その最終的な答えが、パスワードそのものをなくす「パスワードレス認証」です。
その中核技術であるFIDO2は、認証情報を利用者の手元の端末から外に出さない仕組みになっています。パスワードも、盗めるような確認コードも使いません。しかも、アクセスしているサイトが本物かどうかを技術的に確認するため、偽サイトに認証情報を渡してしまう中間者型フィッシングが、原理的に成立しません。MFA疲労攻撃やSIMスワップも、そもそもパスワードや使い回せるコードが存在しないため、狙いようがなくなります。
つまり、MFAで防ぎきれなかった最新の攻撃も、パスワードレス（FIDO2/パスキー）なら根本から防げるのです。米国NISTをはじめ世界のセキュリティガイドラインが、最終的に求められる認証として、このフィッシング耐性の高いパスワードレス認証を明確に示しているのは、まさにこのためです。MFAは、パスワードを狙う多くの攻撃を防ぐ重要な対策です。しかし、その先の「防ぎきれない攻撃」まで見据えるなら、目指すべきゴールはパスワードレスなのです。
5. まとめ
多要素認証（MFA）は、クレデンシャルスタッフィング、パスワードスプレー、総当たり、単純なフィッシングといった「パスワードを狙う攻撃」を幅広く防ぐ、極めて有効な対策です。パスワードだけの状態から抜け出すだけで、防げる攻撃は劇的に広がります。
一方で、パスワードを残したままのMFAには、中間者型フィッシングやMFA疲労攻撃、SIMスワップといった、突破されうる攻撃も存在します。これらを根本から防ぐ答えが、パスワードそのものをなくすパスワードレス認証（FIDO2/パスキー）です。世界のガイドラインが最終的に求めるのは、このフィッシングに強いパスワードレスです。MFAを第一歩としつつ、その先のパスワードレスを見据えて認証を強化していきましょう。何から始めるべきか迷ったら、専門家にご相談ください。