多要素認証の回避を試みる攻撃者、警戒すべきポイントは?

今回は「多要素認証の回避を試みる攻撃者、警戒すべきポイントは?」についてご紹介します。

関連ワード (セキュリティ等) についても参考にしながら、ぜひ本記事について議論していってくださいね。

本記事は、ZDNet Japan様で掲載されている内容を参考にしておりますので、より詳しく内容を知りたい方は、ページ下の元記事リンクより参照ください。


 多要素認証の導入は、アカウントやネットワークを攻撃から守るために最も効果的な対策だと言われることが多い。

 これは、サイバー犯罪者がネットワークに侵入するために最もよく使っている手段の1つが、フィッシング攻撃によってパスワードを盗んだり、弱いパスワードを推測するなどして、パスワードを入手することだからだ。いずれにせよ、パスワードさえ本物であれば、システムは相手にアクセスを許してしまう。

 多要素認証を導入すれば、攻撃者が超えなければならない壁をもう1枚増やすことになる。ユーザーが、パスワードを入力することに加えて、ログインしようとしているのが本人であることを証明しなければならないからだ。この確認には、SMSメッセージや、認証アプリや、物理的なセキュリティキーが使われる。仮に攻撃者がパスワードを知っていても、確認メッセージや物理的なデバイスにアクセスできなければ、システムは攻撃者を受け入れず、攻撃者がその先に進むことはできない。

 多要素認証を使えば、アカウントを乗っ取ろうとする試みの大部分に対抗できるが、最近は多要素認証を使用したセキュリティを迂回(うかい)しようとするサイバー攻撃が増えている。Microsoftによれば、2021年、この手法を使ったたった1つの攻撃キャンペーンで1万以上の組織が標的になったという。

 多要素認証を迂回しようとするハッカーが採りうる選択肢の1つが、いわゆる「Adversary-in-the-Middle」(AiTM)と呼ばれる手口で、これはフィッシング攻撃と、被害者とログインしようとしているウェブサイトの間に設けたプロキシサーバーを組み合わせた攻撃手段だ。この手法を使えば、パスワードとセッションクッキーを盗むことができる。セッションクッキーはもう1つの認証手段なのだが、この攻撃キャンペーンでは、これを悪用して電子メールメッセージを盗もうとする。この攻撃を受けたユーザーは、普段通りに自分のアカウントにログインしたと思っている。

 Microsoftはこの攻撃について、「これは多要素認証の脆弱性ではない。AiTMフィッシングはセッションクッキーを盗むため、攻撃者はユーザーが使っているサインインの方法に関わらず、ユーザーになりすましてセッションの認証を得ることができる」と説明している。

COMMENTS


Recommended

TITLE
CATEGORY
DATE
JR東とKDDI、配送ロボットによるサービス実証–新たな街づくりの布石へ
IT関連
2023-01-12 16:59
富士フイルムBIとサーバーワークス、「富士フイルムクラウド」設立–顧客に最適なクラウド導入を支援
IT関連
2024-02-04 03:16
「ノーコード」の認知率は23%、導入メリットの訴求が課題–ヤプリ調査
IT関連
2022-03-27 09:16
「パックマン」デザインの腕時計、カシオが発売 「ともに誕生から40年を超える」
くらテク
2021-07-22 16:00
シャープ、アクオスの「AIレコメンド」終了 「キーワード登録の方が使われた」
くらテク
2021-03-16 03:02
第1回:メインフレーム60年の挑戦、未来に向けた進化と深化
IT関連
2024-10-22 04:47
東映アニメ、不正アクセスの調査結果を公表–業務ソフト配布元が改ざん
IT関連
2022-05-03 06:25
業務効率化のための統合ID管理を活用する東映アニメの取り組み
IT関連
2022-01-22 11:57
Facebookの「MySQL 8.0」への移行作業、エンジニアが詳細をブログに
IT関連
2021-07-29 02:49
きらぼし銀行、フィンテックのサービスでマネージドセキュリティサービスを導入
IT関連
2021-02-10 16:32
物流スタートアップ「souco」が冷凍冷蔵温度帯の荷物向けに全国一律料金の従量制保管サービス開始
ネットサービス
2021-08-17 05:20
マイクロソフト、「Exchange Server」への最新パッチ適用をあらためて促す
IT関連
2023-02-01 21:35
SPPテクノロジーズ、MEMS・半導体製造装置の遠隔支援サービスを開始
IT関連
2022-12-15 04:09
リモートワークに必要なツールとサポートを提供するFirstbaseが約14億円調達、フィンテックから方向転換
ソフトウェア
2021-05-03 23:37