多要素認証（MFA）はハッキングされる可能性があるのか？

「多要素認証はハッキングされる可能性があるのか？」は、公開された証拠がインターネットインフラ、ガバナンス、運用上の依存関係、または市場の可視性と結びついているため、BTW Media によってプロファイルされています。

• ビットコイン ETF と同様に、イーサリアム ETF は投資家にデジタル資産を直接保有することなく暗号通貨への便利なアクセス手段を提供します。
• 多要素認証（MFA）は、ソーシャルエンジニアリング、偽のランディングページ、セッションハイジャック、SIM スワップの 4 つの方法でハッキングされる可能性があります。
• 堅牢なポリシーの設定とハードウェアキーの使用により、多要素認証のハッキングから企業を守ることができます。

多要素認証（MFA）とは、特定のデジタル ID に関連付けられた権限、権利、特権、メンバーシップにアクセスするために、ユーザーまたはデバイスが少なくとも 2 種類の制御の証明を提供するプロセスです。二要素認証（2FA）は、認証成功のために正確に 2 つの証明が必要であることを意味し、MFA のサブセットです。

MFA の仕組みを理解するには、認証という概念をより広く理解する必要があります。アイデンティティおよびアクセス管理（IAM）の枠組みでは、認証要素とは、特権情報へのアクセスを許可する前にユーザーが本人であることを証明するために使用されるセキュリティメカニズムです。

認証要素には 3 つのタイプがあります。知識要素、所有要素、固有要素です。

MFA では、ユーザーが自分の身元を確認するために、これらの要素のうち少なくとも 2 つを証明する必要があります。

ハッカーは多要素認証をどのように回避するのか？

ソーシャルエンジニアリング

ソーシャルエンジニアリングとは、被害者を騙してサイバー攻撃に悪用される可能性のある特権情報を開示させることです。この攻撃方法は、攻撃者がすでに被害者のユーザー名とパスワードを入手しており、追加の認証要素を回避する必要がある場合に最もよく使用されます。

この場合、攻撃者は「IT 部門の担当者」や他の信頼できるユーザーになりすまします。そして、その信頼の立場を利用してユーザーを操作し、重要なアカウント情報を共有させます。ユーザーが情報を提供すると、攻撃者はユーザーのアカウントと企業ネットワークにアクセスできるようになります。さらに、そのユーザーのパスワードを変更してアカウントから締め出すことも可能です。

これらの攻撃者は、アカウントがすでにハッキングされている、または情報を共有しなければハッキングされる危険があるとユーザーに警告し、「信頼できるユーザー」がそれを防ぐための行動を取れると装います。皮肉なことに、これによりユーザーは、MFA を回避して企業ネットワークに侵入するために必要なすべての情報をハッカーに提供してしまうのです。

偽のランディングページ

偽のランディングページとは、既に知っていて使用している評判の良い信頼できるサイトに似せて作られた詐欺サイトです。LinkedIn、Facebook、Gmail、または他の有名なサイトが対象になることがあります。このサイトでログインを試みると、アクセスが拒否され、アカウント情報が悪意のある攻撃者によって保存されます。その後、攻撃者は提供された情報を利用して、正規のサイトやアカウントの MFA セキュリティを回避することができます。

関連記事：AI：機会と脅威

セッションハイジャック

セッションハイジャック（Cookie 盗難）は、サイバー犯罪者が中間者攻撃を通じてユーザーのログインセッションを侵害した場合に発生します。セッション Cookie は、ウェブサービスのユーザー体験（UX）において重要な役割を果たします。

ユーザーがオンラインアカウントにログインすると、セッション Cookie にはユーザーの認証情報が含まれ、セッションアクティビティを追跡します。Cookie は、ユーザーがログアウトしてセッションを終了するまで有効です。

セッションハイジャックは、ウェブサーバーがセッション Cookie をセキュアとしてマークしていない場合に可能になります。ユーザーが Cookie を HTTPS 経由でサーバーに返信しない場合、攻撃者は Cookie を盗み、セッションを乗っ取ることで MFA を回避できます。

SIM スワップ

ワンタイムパスワード（OTP）は、MFA ソリューションで身元を確認する一般的な手段です。通常、SMS で送信される 6 桁または 8 桁のコードです。コードを入力することで、指定されたユーザーに関連付けられた携帯電話を所有していることを証明し、本人であることを示します。

しかし、ハッカーは携帯電話会社に連絡し、SIM スワップを実行するよう説得することができます。これにより、ユーザー宛てのメッセージがハッカーにリダイレクトされます。その後、ハッカーは本来ユーザーに送信された確認コードを使用してアカウントにアクセスできます。携帯電話会社に SIM カードの変更を納得させるには、ある程度のソーシャルエンジニアリングが必要です。また、この方法を試す前に、ハッカーはユーザーの他のアカウント詳細を入手しておく必要があります。これらの詳細は、ダークウェブ、過去のデータ侵害で収集された認証情報データベース、または偽のランディングページを使用して入手される可能性があります。

関連記事：Perplexity AI とは？

多要素認証のハッキングから企業を守る方法

多要素認証の設定

堅牢なポリシーで MFA を設定することにより、ユーザーアカウントの保護を強化できます。指紋センサー、顔認証（Face ID）、キーストローク分析などの生体要素は、なりすましが最も難しく、ハッカーがアカウントに侵入するのを大幅に困難にします。コンテキスト分析と行動分析を統合することで、望ましくない侵入を防ぐこともできます。これにより、ユーザーの通常の場所やログイン時間などの要素が記録されます。予想される行動パターンと一致しないログインは、疑わしいものとしてフラグが立てられ、ブロックされます。

ハードウェア認証キー

ハードウェアキー、特に FIDO 2 原則を利用したものは、最も安全な識別方法の一つです。ハッカーがこの種の攻撃に必要な情報と物理的なハードウェアにアクセスすることは非常に困難です。ハードウェアキーは、多くの場合、アカウントのセキュリティを確保するために改ざん防止設計が施されています。FIDO 2 は、パスワード不要で使いやすく、非常に安全な標準規格です。公開鍵暗号方式を使用するため、ハッカーがアカウントにアクセスする方法を見つけることは事実上不可能です。

この記事を読んで、多要素認証がなぜ必要なのか疑問に思われるかもしれません。サイバーセキュリティのソリューションで完全な不可侵性を保証できるものはないと言うのが妥当でしょう。ハッカーは常にシステムや手法の欠陥を探し、個人情報にアクセスしようとします。一方で、MFA を設定したアカウントは、設定していないアカウントよりもはるかにハッキングが困難になります。