プロジェクトマネージャ 2025年午前2 問23

問題文

多要素認証疲労攻撃の例はどれか。

🖊️ 解答を隠して解いてみる

ア：顔認証で画面ロックを解除できるスマートフォンを攻撃者が不正に使い、所有者が疲労して寝ている際にその寝顔を利用して画面ロックの解除を試みる。

イ：攻撃者の用意した偽サイトに利用者を誘導し、利用者のパスワード、電話番号など認証に関する複数の要素を不正に取得する。

ウ：多要素認証を利用可能なシステムの利用者に、攻撃者が“システムへの多要素認証でのログインが必要です”という偽の電子メールを繰り返し送り付け、利用者がうっかりログインしてしまうのを待つ。

エ：パスワード認証とスマートフォンへのプッシュ通知による認証を採用しているシステムにおいて、利用者がプッシュ通知の承認操作を行うまで、攻撃者が不正なログイン操作を繰り返す。（正解）

🔒 解説は解答すると表示されます

多要素認証疲労攻撃は、攻撃者が不正なログイン操作を繰り返し、利用者のスマートフォンなどに認証要求を何度も送る攻撃です。利用者が通知にうんざりしたり、内容をよく確認せずに承認したりすることを狙います。

パスワード認証に加えてプッシュ通知による認証を使うシステムで、利用者が承認するまで不正なログイン操作を繰り返す方法が該当します。したがって、正しい説明はエです。

ア：寝ている所有者の顔を使って画面ロックを解除しようとする行為です。生体認証を不正に利用する攻撃であり、認証要求を繰り返して利用者を疲れさせる攻撃ではありません。
イ：偽サイトに利用者を誘導し、認証情報を盗み取るフィッシング攻撃です。認証情報をだまし取る点が中心で、プッシュ通知を繰り返す攻撃ではありません。
ウ：偽メールを繰り返し送り、利用者を偽のログイン画面などに誘導しようとする手口です。多要素認証に関係する内容ではありますが、認証要求を何度も送って承認を迫る手口ではありません。
エ：不正なログイン操作を繰り返し、利用者にプッシュ通知を何度も送ります。利用者が誤って承認することを狙うため、多要素認証疲労攻撃に該当します。

多要素認証疲労攻撃は、プッシュ爆撃（プッシュ通知の大量送信）とも呼ばれます。対策として、ログイン時に画面に表示された番号を認証アプリで入力する方式や、ログイン場所などの情報を照合する方式があります。また、利用者は身に覚えのない認証通知を承認せず、管理者やサービス提供者に報告することが大切です。

Q. なぜ利用者は誤って承認してしまうのですか？
A. 通知が何度も届いて煩わしくなったり、正規の操作だと思い込んだりして、内容を確認せずに承認することがあるためです。

Q. 身に覚えのないプッシュ通知が届いた場合はどうすればよいですか？
A. 承認せず、認証サービスのパスワード変更や管理者への連絡など、組織やサービスの手順に従って対応してください。

関連キーワード: 多要素認証、プッシュ通知認証、プッシュ爆撃、フィッシング、認証情報攻撃

\ せっかくなら /

プロジェクトマネージャを
クイズ形式で学習しませんか？

すぐに利用可能！