基礎概念

多要素認証

Multi-Factor Authentication (MFA)

定義

多要素認証（MFA）とは「2種類以上の異なる認証要素（知識・所持・生体）を組み合わせてアカウントを保護する仕組み」で、パスワード単体の脆弱性を補う現代のセキュリティの基本です。1つ目の要素（パスワード）が漏洩しても2つ目の要素がなければログインできないため、クレデンシャルスタッフィング攻撃や大規模なパスワード漏洩の被害を根本から抑制できます。Microsoftの調査ではMFA導入だけでアカウント乗っ取りの約99.9%を防御できるとされており、特権アカウント・管理コンソール・VPN・メールへの適用が最優先です。ただしMFAの強度には差があります。SMS OTPはSIMスワッピングで傍受でき、TOTPアプリはEvilginxなどのプロキシ型フィッシングでリアルタイム中継されてしまいます。最も強力な手段はFIDO2/パスキーで、登録したドメイン以外では認証が成立しない設計によってフィッシング自体を無効化します。

詳細解説

MFAを導入するだけでアカウント乗っ取りの99.9%を防御できるというMicrosoftの調査があります。ただしSMS OTPはSIMスワッピングやSS7攻撃で傍受されるリスクがあり、TOTPアプリはEvilginxなどのプロキシ型フィッシングでバイパスされる場合があります。FIDO2/パスキーがフィッシング耐性の面で最も強力なMFA手段です。