攻撃手法・初期侵入
多要素認証の回避
多要素認証の回避（別名 MFA疲労、MFAボンビング、AiTM、アドバーサリーインザミドル）は、多要素認証そのものを正面から破るのではなく、利用者の心理や手続きの隙を突いて回避する手口です。
- 初期侵入
- 実行
- 横展開
- 窃取
- 影響
要点
- 段階 攻撃が進む段階のうち「初期侵入」で使われます。MITRE ATT&CK の手口番号は T1621、T1557、T1556.006 です。
- 記録 このサイトの記録では、事例 0 件とハッカーグループ 1 組に出てきます。
- 最初の対策 FIDO/WebAuthnなど物理キーを使う、フィッシングに強い方式のMFAへ移行する。
偽サイトで入力内容をその場で中継して認証コードごと盗む手口や、承認通知を大量に送って誤操作を誘う手口がある。
攻撃の流れ
- 1正規のログイン画面そっくりの偽サイトを用意し、利用者が入力したIDとパスワードに加えて、その場で届く認証コードも中継して奪う
- 2正規の認証アプリへ次々と承認通知を送りつけ、利用者が煩わしさから誤って承認を押すまで繰り返す(MFA疲労)
- 3電話会社を欺いて利用者の電話番号を攻撃者側のSIMへ切り替えさせ、SMSで届く認証コードを横取りする
- 4侵入後に正規のMFA設定を変更し、攻撃者が管理する端末を新たな認証手段として登録して居座る
気づくための兆候
- 短時間に同じ利用者宛ての認証リクエストや承認通知が何度も発生する
- 利用者に記憶のない時間や場所、デバイスからの認証成功が記録される
- MFAの登録デバイスや連絡先電話番号が利用者の知らないうちに変更される
対策
FIDO/WebAuthnなど物理キーを使う、フィッシングに強い方式のMFAへ移行する
既存のMFAを使い続ける場合は番号を一致させる方式を採用し、安易な承認を防ぐ
MFA設定の変更や新規デバイス登録をログに残し、異常があれば通知する仕組みを入れる
SMSや音声通話による認証コードへの依存を減らす
関係するページ
手口、グループ、事例のつながりは、収録データの記録だけから引いています。
関係するグループ
関係する事例
収録データにはまだ出ていない
出典
- Implementing Phishing-Resistant MFA CISA
- #StopRansomware：Scattered Spider (AA23-320A) CISA/FBI・2025-07-29
- MITRE ATT&CK Technique — Multi-Factor Authentication Request Generation (T1621) MITRE ATT&CK・2025-10-24
- MITRE ATT&CK Technique — Adversary-in-the-Middle (T1557) MITRE ATT&CK・2026-05-12
- MITRE ATT&CK Sub-technique — Modify Authentication Process：Multi-Factor Authentication (T1556.006) MITRE ATT&CK・2026-05-12
最終確認日 （2026年10月24日）
監修 平原尚樹（株式会社BlueAI 代表取締役CEO、ソフトウェアエンジニア、Google Cloud Architect）