MFAはハッキングされるのか？
多要素認証（MFA）は、盗まれたパスワードが侵害につながるのを防ぐために、多くのチームが信頼しているコントロールです。そして攻撃者は長年にわたり、それを回避する方法を学んできました。では、MFAはハッキングされるのでしょうか？ はい。MFAは攻撃コストを引き上げますが、それを排除するものではありません。
問題はMFAという概念そのものではありません。ほとんどの導入は、攻撃者が傍受、リダイレクト、またはソーシャルエンジニアリングによって回避する方法を学んだ要素に依存しています。SMSコードは転送される可能性があります。プッシュ通知はスパム送信される可能性があります。セッショントークンは、正規の認証完了後に盗まれる可能性があります。ヘルプデスク担当者は、MFA自体をリセットするようだまされる可能性があります。Verizonの2025 Data Breach Investigations Report（DBIR）では、不審なログインパターンが 認証情報の窃取およびMFAバイパス活動の繰り返し現れる兆候であることが示されています。
2024年12月、FBIとCybersecurity and Infrastructure Security Agency（CISA）は、米国の通信インフラを標的としたSalt Typhoonスパイ活動キャンペーンに関連する活発な悪用を理由に、組織とユーザーに対してSMSベースのMFAから移行するよう勧告するという異例の措置を取りました。 CISAのモバイル向けガイダンスでは、バイパス手法に対して有効な最も強力なMFAの形態として、Fast Identity Online（FIDO）ベースの認証を推奨しています。
各バイパス手法がどのように機能するかを理解することが、有効な防御を構築するための第一歩です。
一般的なMFAバイパス手法8選
以下の各手法は、人的ミスからプロトコルレベルの欠陥まで、MFA導入における異なる弱点を狙います。ソーシャルエンジニアリングを必要とするものもあります。人がまったく介在せずに実行されるものもあります。
1. MFAプロンプト爆撃（プッシュ疲れ）
攻撃者は フィッシングやデータ侵害を通じて有効な認証情報を入手し、その後、ユーザーが苛立って1つを承認するまでMFAプッシュ通知を繰り返し発生させます。 CISA AA23-320Aによると、Scattered Spiderは「従業員がプロンプトを承認するよう仕向け、標的ネットワークへのアクセスを得るために、MFA通知プロンプトを継続的に送信」します。 APT29もこの手法を使用しています。
SOCで確認すべき点: 短時間に単一アカウントへ繰り返されるMFA要求、通常とは異なる場所からのログイン試行、失敗した認証の連続の後に突然承認されるシーケンス。
2. セッションハイジャックとトークン窃取
この手法は認証後に起こることを狙います。攻撃者は、リモートアクセスインフラ、VPN、Webゲートウェイ、またはアプリケーションサーバーの脆弱性を悪用して、有効なセッショントークンを抽出します。これらのトークンを再利用して、MFAチャレンジを一切発生させることなく認証済みセッションを確立します。LockBit affiliatesは、Citrix NetScalerアプライアンスからセッショントークンを収集してMFAを完全に回避することで、CitrixBleedの欠陥 (CVE-2023-4966) を通じてこれを実証しました。
アカウントハイジャックとセッショントークン悪用のつながりを確認するには、当社のガイドで、その仕組みと検知コントロールを解説しています。
SOCで確認すべき点: 地理的にあり得ない場所から開始されたセッション、単一ユーザーの複数同時セッション、想定されるMFAプロンプトをスキップする認証フロー。
3. SIMスワッピング
攻撃者は ソーシャルエンジニアリングまたはオープンソースインテリジェンス（OSINT）を通じて個人識別情報（PII）を収集し、その後、携帯通信事業者に連絡して被害者の電話番号を攻撃者が管理するSIMへ移転させます。これにより、SMSベースのMFAコードはすべて攻撃者に届くようになります。CISA AA23-320Aによると、Scattered Spiderはデータ恐喝活動の一環として体系的に SIMスワッピングを利用しています。
SOCで確認すべき点: 携帯サービスの突然の停止や、通信事業者からの予期しないSIM無効化メッセージ、以前に登録されたものとは異なるデバイスから使用されるSMS MFAコード、SIMスワップ活動の直後に発生するアカウントアクセス。
4. Adversary-in-the-Middle（AiTM）フィッシング
攻撃者は、あなたと正規の認証ポータルの間にリバースプロキシサーバーを配置します。あなたは認証情報を入力し、MFAチャレンジを完了します。プロキシはその両方を取得します。攻撃者は盗んだセッショントークンを使って、そのまま侵入します。
Phishing-as-a-Serviceプラットフォームは、この手法の商品化を後押ししてきました。現在、リバースプロキシ型フィッシングキットは、一般的なクラウドアイデンティティワークフローに対するAiTM攻撃に特化しています。Mamba 2FAのようなキットは主要なクラウドアイデンティティプラットフォームを標的とし、セキュリティスキャンを回避するためのアンチボット識別を実装しています。
adversary-in-the-middle攻撃に関する当社のガイドでは、AiTMが従来のman-in-the-middle手法とどう異なるか、また環境内でどのように指標を見つけるかを解説しています。
SOCで確認すべき点: 仮想専用サーバー （VPS）またはプロキシインフラから発生する認証要求、自社のログインポータルを模倣した不審なドメイン登録、認証情報入力から別IPによるアクセスまでの短い時間差。
5. ヘルプデスクに対するソーシャルエンジニアリング
CISA AA23-320Aによると、Scattered SpiderはITサポートに対して多段階攻撃を実行します。まず、パスワードリセット手順を把握するための偵察電話を行い、その後、従業員になりすましてヘルプデスク担当者にMFAトークンをリセットさせます。2023年初頭以降、この手法により「single sign-on（SSO）アカウントおよびクラウドベースのアプリケーションスイート」へのアクセスが可能になっています。契約型または外部委託のヘルプデスクは、本人確認が厳格でないため特に脆弱です。
SOCで確認すべき点: 特権アカウントに対する異常な量のMFAリセット要求、特に営業時間外のもの、およびヘルプデスクとのやり取り後に行われるリモートアクセスツール（TeamViewer、AnyDesk）のインストール。
6. SS7プロトコルの悪用
1970年代に設計されたSignaling System 7は、現在も世界のモバイル通信の基盤です。SS7ネットワークへのアクセスを得た攻撃者は、SMSトラフィックをリダイレクトし、MFAコードをリアルタイムで傍受できます。SS7の悪用は、マルウェアを展開することなくコードを傍受して不正を可能にするため、SMSベースのMFAに依存するあらゆる組織にとって現実的なリスクです。
Salt Typhoonキャンペーンを受けて、 SANS Instituteのガイダンスは、CISAが「率直に『認証の第2要素としてSMSを使用しないこと』と述べた」ことを確認しました。
7. リアルタイムフィッシングツールキット
EvilProxy、Evilginx、Sneaky2FA、WikiKitのようなツールキットは、リアルタイムの認証情報およびセッション再利用プラットフォームとして動作します。これらは認証情報とセッショントークンを取得し、ユーザーやセキュリティチームが異常に気付く前に再利用します。この高速な再利用ウィンドウにより、シグネチャベースのツールは追随が困難になります。
フィッシングは、MFAの悪用、モジュール型ツール、再利用可能なインフラを中心とした、より大きな運用上の脅威へと成長しています。脅威研究者は、攻撃者がこれらのワークフローを再利用および配布向けにどのようにパッケージ化しているかを継続的に記録しています。
8. OAuthと同意フィッシング
攻撃者はOAuthプロバイダーに悪意のあるアプリケーションを登録し、その後、ユーザーをだまして権限を付与させます。アプリケーションは、ユーザーが付与したアクセス権を持つ正規のOAuthトークンを受け取り、MFAを完全に回避します。リフレッシュトークンの仕組みにより、パスワードリセット後も存続する長期的な永続化が可能になります。
そこから攻撃者は、サービスプリンシパルを操作し、不正なOAuthアプリケーションを作成し、クラウドAPIやコラボレーションプラットフォームを通じて機密データを持ち出します。中国の国家支援グループSilk Typhoonは、この手法を使って顧客環境間を気付かれずに移動していました。
SOCで確認すべき点: 高権限を要求する新しいOAuthアプリケーション登録、アイデンティティログでMFAなしに発行されるSAMLトークン、クラウドAPIまたはコラボレーションプラットフォームに対する異常なAPIコールパターン。
これら8つの手法は、ソーシャルエンジニアリング、プロトコル悪用、認証後の悪用にまたがっています。導入するMFA方式によって、組織がそのうちどれだけにさらされるかが決まります。
どのMFA方式がバイパスに最も脆弱か？
すべてのMFA方式が、上記8つの手法に対して同程度にさらされているわけではありません。以下の表は、 CISAのフィッシング耐性ガイダンスおよび FIDO Allianceの分類に基づき、一般的な5つのMFA実装を、それらを破ることができるバイパスカテゴリに対応付けたものです。
| MFA方式 | 脆弱な対象 | フィッシング耐性あり？ |
| SMS / 音声コード | SIMスワッピング、SS7悪用、AiTMフィッシング、リアルタイムフィッシングツールキット | いいえ |
| TOTPアプリ (Google Authenticator, Authy) | AiTMフィッシング、リアルタイムフィッシングツールキット | いいえ |
| プッシュ通知 | プロンプト爆撃、AiTMフィッシング | いいえ |
| 番号照合付きプッシュ | AiTMフィッシング（プロキシが番号をリアルタイムで中継） | いいえ |
| FIDO2 / WebAuthnセキュリティキー | 上記8つの手法のいずれにも該当しない | はい |
パターンは明確です。共有シークレットまたはユーザー承認プロンプトに基づくすべての方式は、少なくとも1つのバイパス手法に敗れます。完全な一覧に耐えられるのは暗号学的認証だけです。
共有シークレット型MFAが失敗する理由
最初の4つの方式はすべて、共有シークレットまたはユーザー承認プロンプトに依存しています。これはまさに、攻撃者が傍受または中継できるものです。FIDO2キーは、まったく異なる原理で動作します。秘密鍵はデバイスから決して離れず、すべての認証チャレンジは実際のドメインに暗号学的に結び付けられます。フィッシングプロキシは有効な署名を偽造できません。なぜなら、ドメインが一致しないからです。 NIST 800-63-4によると、「非対称鍵暗号プロセス」を使用する認証子のみが最高保証レベルの対象となります。
現在SMSまたはプッシュベースのMFAを運用している場合、リスクを直ちに低減できます。まず特権アカウントをFIDO2キーへ移行し、その後、一般ユーザーにWindows HelloやApple Touch IDのようなプラットフォーム認証子を提供してください。これは段階的な展開であり、全面的な置き換えではありません。単一の業務日も中断することなくフィッシング耐性を実現する、最も現実的な道筋です。
実際のMFAバイパス攻撃事例
上記の手法は理論上のものではありません。実際の侵害事例は、攻撃者がMFAバイパス手法を多段階攻撃へと連鎖させ、多くの場合、初期アクセス獲得から数時間以内に実行していることを示しています。
- MGM Resorts（2023年）。 Scattered Spiderは、ヘルプデスクに電話をかけ、従業員になりすまし、スタッフにMFA認証情報をリセットさせることでMGMの環境を侵害しました。この攻撃では、LinkedInを使ってITスタッフを特定し、本人確認チェックを通過するために必要な詳細情報を収集しました。混乱はホテル運営、カジノシステム、顧客データにまで及び、 MGMのSEC 8-K提出書類によると、報告された損害額は1億ドルを超えました。
- Uber（2022年）。攻撃者はダークウェブのマーケットプレイスで盗まれた認証情報を購入し、その後、Uberの請負業者に対して継続的なMFAプロンプト爆撃キャンペーンを開始しました。請負業者がアラートを止めるためにプッシュ通知を承認すると、攻撃者は数時間以内にSlack、AWS、Google Workspaceを含むUberの内部システム全体へ横展開しました。 Uberの公式セキュリティ更新では、その請負業者の認証情報は、個人デバイスのマルウェア感染後にダークウェブで購入された可能性が高いことが確認されています。
- Salt Typhoon（2024年）。 この中国の国家支援グループは、米国の通信インフラを標的としてSMSベースのMFAコードを傍受するためにSS7プロトコルの弱点を悪用しました。FBIとCISAは、このキャンペーンに関連する活発な悪用への直接対応として、組織にSMSベースのMFAの使用停止を勧告する 共同ガイダンスを発表しました。
- Storm-0558（2023年）。 Microsoftは公表しました。中国関連の脅威アクターStorm-0558が、取得したMicrosoft署名キーを使用して認証トークンを偽造し、複数の顧客組織にまたがるクラウドメールアカウントへアクセスしたことを。この攻撃は、認証情報レイヤーではなくトークンレイヤーで動作することで標準的なMFAコントロールを回避し、初期のMFAチャレンジを無意味なものにしました。
各インシデントは、上記一覧の異なる手法を悪用していました。一貫した共通点は、攻撃者が各組織のMFA導入における最も弱いリンクに合わせて手法を適応させることです。
MFAバイパス試行の指標
MFAバイパスは、アイデンティティログ、エンドポイントテレメトリ、ネットワーク活動全体に痕跡を残します。これらのシグナルを早期に捉えれば、攻撃者が定着する前に対応できます。
認証の異常:
- 別の地域での認証成功から数分以内に、あり得ない場所から行われるログイン
- 単一ユーザーアカウントに対する複数の同時アクティブセッション
- アイデンティティログ内に対応するMFAチャレンジがないまま完了する認証フロー
- 営業時間外、または登録済みデバイス一覧にないデバイスから承認されるMFAチャレンジ
アイデンティティおよびアクセスパターン:
- 特権アカウントに対するMFAリセット要求の急増
- 高権限を要求する新しいOAuthアプリケーション登録
- アイデンティティプロバイダーログでMFAコンテキストなしに発行されるSAMLトークン
- MFAバイパスまたは認証情報リセットを要求するヘルプデスクチケットの直後に、新しいデバイスから発生するアカウントアクセス
ネットワークおよびエンドポイントのシグナル:
- VPSインフラ、匿名化プロキシ、またはTor出口ノードから発生するセッション活動
- 認証情報送信から、その後の別IPによるアクセスまでの短い時間差
- 認証成功イベントから数分以内に始まるラテラルムーブメント
- ヘルプデスクへの連絡直後にインストールされる新しいリモートアクセスツール
これらの指標が、バイパス試行中に単独で現れることはまれです。認証イベントをエンドポイントおよびネットワークシグナルと相関付けることが、真のバイパス検知と誤検知を分ける要素です。
MFAバイパス攻撃を防ぐ方法
手法を知ることは半分にすぎません。ここからが前向きな部分です。今読んだすべてのギャップは塞ぐことができ、そのための対策は十分に理解されています。
- 主要なコントロールとしてフィッシング耐性MFAを導入する。 CISAガイダンスによると、フィッシング耐性があると認められるのはFIDO2/WebAuthnおよびPKIベース認証のみです。SMSコード、時間ベースのワンタイムパスワード（TOTP）アプリ、メールリンク、プッシュ通知は、番号照合付きであっても明示的に除外されています。CISAは、レガシーMFA方式がフィッシング、SIMスワップ、SS7の問題、プロンプト爆撃の影響を受けると述べています。まずは最も高い権限を持つアカウント、すなわちドメイン管理者、クラウド管理者、セキュリティチームから導入を開始してください。
- トークンバインディングとセッションライフサイクル制御を強制する。 NIST IR 8587はトークンライフサイクルのガイダンスを提供しています。アイデンティティプロバイダーの署名キーを分離し、リスクレベルに基づいてキーをローテーションし、NIST保証レベルに沿ったセッションタイムアウトを強制します。特権アクセスについては、より高いNIST保証要件に沿ってセッション時間と非アクティブ時間の上限を設定してください。
- 条件付きアクセスポリシーを実装する。 すべてのクラウドアプリケーションアクセスに対して、準拠したデバイスポスチャとフィッシング耐性MFAを要求してください。Cloud Security Alliance（CSA）のガイダンスによると、すべてのアクセス判断に、場所、デバイス準拠、ロールコンテキスト、MFA保証レベルを組み込むべきです。
- レガシー認証プロトコルをブロックする。 CISA Binding Operational Directive（BOD）25-01は、MFAをサポートできないためレガシープロトコルのブロックを義務付けています。最新のフローで強力なMFAを強制していても、レガシー認証フローは永続的なバイパス経路となります。
- ヘルプデスクのプロセスを強化する。 ソーシャルエンジニアがヘルプデスクを説得してリセットさせれば、技術的コントロールは機能しません。特権アカウントのすべてのMFAリセットに対して、複数チャネルによる本人確認を要求してください。帯域外コールバック手順を実装してください。Scattered Spiderが使用する偵察パターンを認識できるよう、ヘルプデスク担当者を訓練してください。
強力にハードニングしても、MFAバイパスの試みは依然として発生します。問題は、それが起きたときにどれだけ迅速に発見し、阻止できるかです。
クラウドおよびアイデンティティ環境におけるMFAバイパス
クラウドは問題の形を変えます。オンプレミス構成では直面しなかったMFAバイパスリスクを持ち込みます。
- single sign-on（SSO）の連鎖。 侵害されたSSOセッションが多数の下流アプリケーションへのアクセスを許可する場合、1回のMFAバイパス成功が即座に拡大します。OktaまたはMicrosoft Entraのセッショントークンを盗んだ攻撃者は、統合されたどのプラットフォームでも追加のMFAチャレンジを発生させることなく、接続されたアプリケーションポートフォリオ全体を移動できます。
- 条件付きアクセスのギャップ。 多くの組織は主要なクラウドアプリケーションに対してフィッシング耐性MFAを強制していますが、レガシーアプリケーションコネクタ、APIエンドポイント、またはサービスプリンシパル構成にはギャップを残しています。攻撃者はこれらのギャップを特定して悪用します。 CISA BOD 25-01は、条件付きアクセスポリシーを回避するため、特にレガシー認証プロトコルのブロックを義務付けています。
- サービスプリンシパルとOAuthの悪用。 クラウド アイデンティティ環境は、自動化と統合のためにサービスアカウントとOAuthトークンに依存しています。これらのマシンアイデンティティは通常、MFAコントロールなしで動作します。攻撃者はサービスプリンシパルを侵害し、OAuth同意フィッシングを通じて昇格した権限を付与し、それらの権限を使って初期アクセス認証情報がローテーションされた後も長期間環境内に残留します。
- フェデレーションアイデンティティとSAML操作。 アイデンティティプロバイダーとクラウドプラットフォーム間のフェデレーション認証は、追加の攻撃対象領域を生み出します。Storm-0558が2023年に示したように、署名キーを侵害した攻撃者は、MFAとのやり取りなしにSAMLアサーションを偽造してクラウドリソースへアクセスできます。
クラウドアイデンティティを保護するには、人間のユーザーに適用するのと同じフィッシング耐性MFAコントロールを、サービスアカウントとOAuthフローにも適用する必要があります。マシンアイデンティティはクラウド環境で最も急速に拡大している攻撃対象領域であり、しかも最も頻繁にMFA境界の外に置かれているものです。
SentinelOneがMFAバイパス攻撃の検知をどのように支援するか
MFAバイパス攻撃は、認証とアクセスの間の領域で発生します。アイデンティティプロバイダーの監視だけでは、攻撃者に悪用されるギャップが残ります。SentinelOneの SingularityTM Platformは、認証イベントをエンドポイントの挙動、ネットワーク活動、ユーザー操作と環境全体で相関付けることで、そのギャップを埋めます。
Singularity Identityは、 アイデンティティインフラへの保護を拡張します。これは、 Active Directory and cloud identity providers liike Entra ID, Ping, Okta, Duo, and SecureAuth に対する進行中の攻撃を、オンプレミスとクラウドの両方でリアルタイムに検知します。Behavioral AIは、あり得ない移動パターン、認証情報の不正使用、トークン操作に関連する権限昇格をフラグ付けします。アイデンティティ活動がセッション悪用と一致すると、プラットフォームは動作します。悪意のあるプロセスを終了し、侵害されたセッションを終了し、影響を受けたエンドポイントを隔離します。
Singularity Identityはまた、弱い、露出した、侵害された認証情報を継続的にスキャンし、認証情報ベースの攻撃が環境に到達する前に阻止する自律的な対応を提供します。
SentinelOneのデモを予約することで、環境全体にわたるMFAバイパス攻撃をどのように発見し、阻止できるかをご確認ください。
重要なポイント
MFAは依然として不可欠ですが、破られないわけではありません。プロンプト爆撃からOAuth同意フィッシングまで、8つの異なるバイパス手法がレガシーMFAの弱点を悪用します。進むべき道は明確です。この脅威を前提に構築された戦略へアップグレードすることです。
フィッシング耐性MFA（FIDO2/WebAuthn）と、認証後の異常をリアルタイムで捉える行動監視を組み合わせることで、MFAを再び負債ではなく真の優位性へと変えることができます。
よくある質問
多要素認証（MFA）は、システムまたはアプリケーションにアクセスする前に、ユーザーが2つ以上の異なる種類の証拠で本人確認を行うことを要求するセキュリティ手法です。
これらの要素は、知っているもの（パスワード、PIN）、持っているもの（セキュリティキー、電話）、本人そのもの（指紋、顔認証）というカテゴリに分類されます。NIST 800-63-4 では、真の MFA と見なされるには、要素が異なるカテゴリに属している必要があると規定されています。
MFAは、ほとんどの導入が暗号学的バインディングではなく共有シークレットやユーザー承認プロンプトに依存しているため、バイパスされる可能性があります。SMSコード、TOTPアプリ、プッシュ通知はいずれも、攻撃者が傍受、中継、またはソーシャルエンジニアリングできる値の送信または確認を必要とします。
認証イベント自体も、正規のログイン完了後にセッショントークンを窃取されることでバイパスされる可能性があり、MFAチャレンジは無意味になります。この種のバイパスを排除できるのはFIDO2/WebAuthnのみであり、認証を正規ドメインに暗号学的にバインドすることで、中継や傍受を技術的に不可能にします
標準的なMFA（SMSコード、プッシュ通知、TOTPアプリ）は、攻撃者が傍受、転送、またはリプレイできる共有シークレットに依存しています。フィッシング耐性のあるMFAは、認証器と正規ドメインの間の暗号学的バインディングを使用します。
FIDO2/WebAuthnおよびPKIベースの方式（PIV/CAC）は、認証情報を解放する前にサーバーのIDを検証するため、リレー攻撃やAiTM攻撃は技術的に不可能になります。CISA、NIST、およびFIDO Allianceはいずれも、これら2つの方式のみをフィッシング耐性があるものとして分類しています。
番号照合は、ユーザーに表示された番号の入力を求めることで、基本的なプッシュ疲労攻撃を防ぎます。しかし、攻撃者のプロキシが実際の認証フローをリアルタイムで中継するAiTMフィッシングは防げません。
攻撃者は同じ番号プロンプトを確認でき、それを被害者に中継できます。CISAは、番号照合を恒久的な防御策ではなく、組織がフィッシング耐性のあるMFAへ移行する間の一時的な対策として説明しています。
トークン窃取とセッションハイジャックは、Verizon 2025 DBIRにおいて主要なMFAバイパスの懸念事項として示されています。これらは認証イベント自体ではなく認証後のセッションを標的とするため、有効なセッショントークンが取得されると、最初のMFAチャレンジは無意味になります。
トークン窃取を阻止するには、セッションアクティビティ、インポッシブルトラベルのパターン、および同時セッションの異常に対する振る舞い監視が必要です。
組織はSMSベースのMFAから移行すべきです。Salt Typhoonキャンペーンを受けて、FBIおよびCISAのガイダンスは、第2要素としてSMSに依存しないよう警告しました。SS7の悪用、SIMスワッピング、AiTMフィッシングを含む複数の攻撃手法により、SMSベースのMFAは突破される可能性があります。
特権アカウントにはFIDO2セキュリティキーを、標準ユーザーにはハードウェアにバインドされたプラットフォーム認証子への移行を進めてください。
8つの主要な手法は、複数のATT&CK IDに対応しています。T1621 (MFA Request Generation) はプロンプトボミングとリアルタイムのフィッシングフローを対象とします。T1550 (Use Alternate Authentication Material) はセッションハイジャックを対象とします。T1589 (Gather Victim Identity Information) はSIMスワッピングを支援します。
T1111 (MFA Interception) はSS7の悪用を対象とします。T1566.004 (Spearphishing Voice) はヘルプデスクに対するソーシャルエンジニアリングを対象とします。T1606 (Forge Web Credentials) はOAuth同意フィッシングを対象とします。
