多要素認証（MFA）を導入していれば、パスワードが漏れても不正ログインは防げる——そう考えている担当者は少なくありません。しかし近年、その多要素認証をそのまま通り抜けてアカウントを乗っ取る「AiTM攻撃（Adversary-in-the-Middle攻撃）」の被害が国内外で報告されています。
AiTM攻撃の特徴は、パスワードやワンタイムコードそのものを破るのではなく、認証が完了した後の「ログイン済みの状態」を横取りする点にあります。そのため、SMSや認証アプリのワンタイムパスワードを使っていても突破されることがあり、多要素認証を入れているという安心が、そのまま守りの強さを意味しなくなっています。
本記事では、AiTM攻撃とは何かという定義から、なぜ多要素認証で防げないのかという仕組み、SMS・認証アプリ・パスキーなど認証方式ごとの耐性、そして優先順位をつけた具体的な対策までを整理します。自社の認証を見直す判断材料としてご活用ください。
目次
一括ダウンロードする
AiTM攻撃とは
AiTM攻撃（Adversary-in-the-Middle攻撃）とは、攻撃者が利用者と正規のログインサイトとの間に割り込み、両者の通信をリアルタイムで中継する中間者型のフィッシング攻撃です。Adversary-in-the-Middle は「間に入り込んだ攻撃者」を意味し、日本語では中間者攻撃とも呼ばれます。
従来のフィッシングは、偽サイトで入力させたIDとパスワードを後から悪用する手口でした。これに対しAiTM攻撃では、攻撃者が用意した偽サイトが利用者の入力をその場で本物のサイトへ転送します。利用者から見ると本物と同じようにログインが進み、多要素認証の画面まで正しく表示されるため、偽サイトだと気づきにくいことが特徴です。
中間者攻撃（MITM）との違い
「中間者攻撃」という言葉は、以前から MITM（Man-in-the-Middle）として知られてきました。通信の間に割り込むという発想は共通しますが、AiTM攻撃は認証の場面に特化し、ログインの通信を中継して「認証が完了した状態」そのものを奪う点に的を絞っています。攻撃者が狙うのは通信内容の盗み見ではなく、ログイン後に発行される後述のセッション情報です。
そのため本記事では、盗聴や通信改ざんを含む広い意味の中間者攻撃ではなく、認証を突破してアカウントを乗っ取るAiTM攻撃に絞って、その仕組みと対策を解説します。
なぜ多要素認証（MFA）で防げないのか
ここからは、AiTM攻撃の核心である「なぜ多要素認証を入れていても突破されるのか」を、攻撃の流れに沿って解説します。結論から言えば、AiTM攻撃は暗号やワンタイムコードを解読するのではなく、認証を通過した後に発行される「セッションCookie（またはトークン）」を中継の途中で丸ごと盗み取るためです。
攻撃はおおむね次のように進みます。まず、攻撃者はメールやSMSで本物そっくりの偽ログインページへ利用者を誘導します。次に、利用者が偽ページにIDとパスワードを入力すると、攻撃者のサーバー（リバースプロキシ）がその入力を本物のサイトへそのまま転送します。
本物のサイトは正規のアクセスと認識して多要素認証を要求し、利用者が入力したワンタイムコードやプッシュ通知の承認も、同じように攻撃者経由で本物のサイトへ横流しされます。
認証が通ると、本物のサイトは「ログイン済み」を示すセッションCookieを発行します。ここで、利用者と本物のサイトの通信は攻撃者のサーバーを経由しているため、本来なら利用者のブラウザに届くはずのセッションCookieも攻撃者のサーバーを通り、その途中で抜き取られます。
このCookieが攻撃者の手元に渡るため、攻撃者はパスワードや認証コードをあらためて入力しなくても、ログイン済みの状態のままアカウントへ侵入できます。利用者がその後パスワードを変更しても、盗まれたセッションが有効なままだと侵入が続くこともあり、被害に気づきにくい点が対応を難しくしています。
この「認証方法によらず、認証済みのセッションを中継で奪う」という性質は、Microsoftが2022年に公表したAiTMフィッシングの分析でも次のように示されています。
the attacker gets authenticated to a session on the user’s behalf, regardless of the sign-in method（攻撃者はサインインの方法によらず、利用者になり代わってセッションの認証を通してしまう）
出典：From cookie theft to BEC: Attackers use AiTM phishing sites as entry point to further financial fraud｜Microsoft Security Blog（2022年7月12日）
こうした攻撃は、専門知識がなくても実行できる状態になっています。認証情報とセッションCookieを盗むための攻撃キットが出回っており、Microsoftは広く使われているキットとしてEvilginx2などを名指ししています。
さらに、サービスとして提供されるフィッシングキット（PhaaS）であるEvilProxyやTycoon2FAも確認されており、AiTM攻撃は一部の高度な攻撃者だけのものではなくなりました。
出典・参考資料（3件）
どの認証方式なら破られ、どれなら耐えるのか
多要素認証とひとくくりに言っても、AiTM攻撃への強さは方式によって大きく異なります。自社が今使っている認証方式が安全側なのか危険側なのかを判断できるよう、代表的な方式のAiTM耐性を整理しました。
| 認証方式 | SMSのワンタイムパスワード | メールのワンタイムパスワード・リンク | 認証アプリのワンタイムパスワード（TOTP） | プッシュ通知の承認 | FIDO2セキュリティキー | パスキー（FIDO2／WebAuthn） |
|---|---|---|---|---|---|---|
| AiTM耐性 | × | × | × | × | ● | ● |
| 理由 | 利用者が入力したコードが中継で本物のサイトへ横流しされ、認証済みセッションを奪われる | SMSと同様、入力・クリックした内容が中継されるため通過を再現される | 手入力するコードは偽サイト経由で横流しでき、コードの有効時間内に悪用される | 承認操作自体が中継されるため通過する。番号照合はMFA疲労攻撃（承認連打で誤操作を誘う手口）には有効だが、AiTMのセッション中継は防げない | 公開鍵暗号を用い、登録したドメインにのみ署名するため偽サイトには応答しない | セキュリティキーと同じ仕組みで、鍵がドメインに束縛され偽サイトで再利用できない |
※上記は各認証方式の一般的な傾向です。実際の耐性は実装や設定により異なる場合があるため、詳細は各提供元の情報をご確認ください。
表のとおり、SMS・メール・認証アプリのワンタイムパスワード・プッシュ通知の承認は、いずれも利用者が入力・操作した内容を攻撃者が中継できるため、AiTM攻撃には耐えられません。盗み見や総当たりには有効でも、中継そのものを止める仕組みを持たないためです。
一方、FIDO2セキュリティキーやパスキーは、AiTM攻撃に耐性を持ちます。理由は、これらが公開鍵暗号を使い、認証に使う鍵を「登録したドメイン（サイト）」に結び付けているためです。FIDO Allianceは、この仕組みを次のように説明しています。
By design, a passkey is only presented to the site it was registered with. There is no way for the user to inadvertently type it on an attacker’s site.（設計上、パスキーは登録したサイトにしか提示されない。利用者が誤って攻撃者のサイトで入力してしまう余地はない）
出典：How passkeys work｜Passkey Central（FIDO Alliance）
登録先のドメインにしか鍵が応答しないため、利用者が偽サイトに誘導されても、そこには署名が渡りません。認証器（セキュリティキーやスマートフォン）は、利用者のブラウザが表示しているドメイン、つまり偽サイトのドメインを見て署名しようとするため、本物のサイト向けの署名がそもそも生成されないからです。
手入力するコードは人が転記できてしまう以上、中継を止められないのに対し、鍵がドメインに束縛される方式では、攻撃者が本物のサイトへ中継しようにも、渡せる署名そのものが作られません。ここが、偽サイトを認証相手として受け付けない方式の強みです。
この違いは、米国の国立標準技術研究所（NIST）が定めるデジタルID基準（SP 800-63B）でも「検証者なりすまし耐性（verifier impersonation resistance）」として整理されています。フィッシング（＝検証者へのなりすまし）に耐えるには、認証に使う情報を通信路に不可逆に結び付ける必要があるとされています。
ワンタイムパスワードのように人が手入力する方式は、この結び付けができないため耐性を持てません。
出典・参考資料（2件）
ここで「耐性あり」に分類したFIDO2セキュリティキーそのものの仕組みや種類、自社に合うものの選び方をもう少し詳しく知りたい方は、次の記事で解説しています。
AiTM攻撃の実態と当局の動き
AiTM攻撃は、実際にどの程度広がっているのでしょうか。対策の優先度を判断する材料として、被害の実態と当局の動きを押さえておきます。
Microsoftは前掲の分析で、2021年9月以降、AiTMフィッシングのキャンペーンが1万を超える組織を標的にしようとしたと報告しています。さらに同社は2025年の分析でも、多要素認証の普及が進むにつれて、攻撃者がAiTMによる認証情報の窃取へ軸足を移していると指摘しています。攻撃キットがサービスとして流通していることが、この増加を後押ししています。
The most prevalent example is the increase in adversary-in-the-middle (AiTM) credential phishing as the adoption of MFA grows.（最も顕著な例が、多要素認証の普及に伴うAiTM型の認証情報フィッシングの増加である）
出典：Defending against evolving identity attack techniques｜Microsoft Security Blog（2025年5月29日）
国内でも、当局が認証強化へ動いています。金融庁は2025年10月、証券会社などの金融商品取引業者を対象に、インターネット取引の認証方法や不正防止策の強化を求める監督指針の改正を行いました。フィッシングサイトで窃取した情報による不正アクセス・不正取引の被害が多発したことを踏まえた改正です。
これは金融分野に限った動きではありますが、規制の直接の対象でない企業でも、取引先や顧客から同水準のセキュリティ対応を求められる場面は増えており、認証の強化は業界を問わず重視されつつあります。
証券会社のウェブサイトを装ったフィッシングサイト等で窃取した顧客情報（ログインIDやパスワード等）によるインターネット取引サービスでの不正アクセス・不正取引（第三者による取引）の被害が多発したことを踏まえ（中略）インターネット取引における認証方法や不正防止策を強化するために、所要の改正を行うもの
出典：「金融商品取引業者等向けの総合的な監督指針」等の一部改正｜金融庁（令和7年10月15日）
AiTM攻撃への対策（優先順位付き）
AiTM攻撃への対策は、着手すべき順に整理すると優先順位がはっきりします。AiTM攻撃は認証の中継とセッションの窃取という一連の流れで成り立つため、入口・認証・認証後の各段階を組み合わせた多層の防御が有効です。まず認証そのものを中継されない方式へ移すことを軸に据え、そのうえで周辺の対策を重ねていく考え方が現実的です。
最優先：フィッシング耐性のある認証（FIDO2／パスキー）への移行
AiTM攻撃対策の本命は、先の表で「耐性あり」に分類した方式、すなわちFIDO2セキュリティキーやパスキーへ認証を移すことです。これらは鍵がドメインに束縛され、偽サイトには署名を渡さないため、中継そのものを成立させません。米国のサイバーセキュリティ・インフラセキュリティ庁（CISA）も、広く使えるフィッシング耐性のある認証はFIDO/WebAuthnだと明言しています。
The only widely available phishing-resistant authentication is FIDO/WebAuthn authentication.（広く利用できるフィッシング耐性のある認証は、FIDO/WebAuthn認証だけである）
出典：More than a Password｜CISA
全社を一度に切り替えるのが難しい場合は、管理者アカウントや経営層など、乗っ取られた際の影響が大きい対象から段階的に導入する進め方が現実的です。すぐに全面移行できない環境では、次に挙げる周辺対策を組み合わせてリスクを抑えます。
条件付きアクセスでログインを正規の条件に絞る
会社が管理するデバイスからのみ、あるいは登録済みのIPアドレスや地域からのみログインを許可する「条件付きアクセス」を設定すると、窃取されたセッションを別の環境から再利用しようとする動きを制限できます。デバイスの状態やログインのリスクに応じて追加の確認を求める設定は、認証そのものを中継されても、その後の悪用を難しくする効果があります。
このように、ログインのリスクの高さに応じて認証の強度を切り替える仕組みは「リスクベース認証」と呼ばれます。その仕組みや多要素認証との違い、導入手段は次の記事で詳しく整理しています。
セッション・トークンの保護と認証ログの監視
盗まれたセッションCookieやトークンの悪用に備え、有効期限を短く保つ、トークンを利用環境に結び付けて再利用を抑える、といった設定が有効です。これらの多くは、利用しているIDaaS（クラウド型のID管理サービス）やクラウドID基盤の管理設定で行えます。
あわせて、ログインの前後で国・IPアドレス・デバイス・ブラウザの一貫性を監視し、不自然なセッションを検知できるようにしておくと、万一中継を許しても早期に気づいて遮断できます。認証ログをためておくことは、被害の発見と原因の切り分けの両方に役立ちます。
監視では、AiTM攻撃に特有の「侵入後の兆候」を見逃さないことが重要です。攻撃者はセッションを奪ったあと、被害者のメールボックスに気づかれにくい転送・振り分けルールを作成します。さらに、見慣れないアプリ（OAuthアプリ）へアクセス権限を同意させ、パスワードを変えられても侵入を維持しようとします。
Microsoftは、AiTMフィッシングで盗んだセッションを起点に、受信トレイルールの作成を経てビジネスメール詐欺（BEC）による送金詐取へ発展した事例を報告しています。この一連の動きは、認証情報とセッションの窃取から5分程度で始まったとされます。
新しく作られた転送・振り分けルール、身に覚えのないアプリへの同意、短時間に離れた国から行われたサインインは、侵害を疑う兆候として検知できるようにしておくことが求められます。
セッションの窃取が疑われるサインインを見つけたときは、初動として次の対応を速やかに行うことが求められます。まず該当アカウントのサインインを取り消してセッションを一括で失効させ、発行済みのトークンを無効化することで、盗まれたセッションを速やかに使えなくできます（多くのクラウドID基盤では管理画面から実行できます）。
次に、パスワードのリセットと多要素認証の再登録に加え、攻撃者が作成した受信トレイルールや不正なアプリの同意の削除も欠かせません。あわせて認証ログをたどり、いつ・どこから・何にアクセスされたかを確認すると、影響範囲を切り分けて二次被害を抑えられます。
URLフィルタ・メール対策で入口をふさぐ
AiTM攻撃の起点は、偽ログインページへ誘導するフィッシングのメールやメッセージです。メールのフィルタリングや、不審なURLへの接続をブロックする仕組みで、誘導そのものを届かせない・踏ませないようにすると、攻撃の入口を減らせます。認証方式の移行が守りの本丸である一方、入口側の対策は被害の発生確率そのものを下げる役割を担います。
従業員教育は「最後の砦」にしない
AiTM攻撃の偽サイトは本物と見分けがつきにくく、多要素認証の画面まで正しく表示されるため、利用者の注意力だけで防ぎきるのは困難です。URLを確認する習慣づけや訓練は無駄ではありませんが、人の判断を最後の防波堤にすると、いつか破られます。教育はあくまで技術対策を補う位置づけにとどめ、中継を成立させない認証方式への移行を軸に据えることが大切です。
出典・参考資料（3件）
一括ダウンロードする
フィッシング耐性MFAで認証を強化する
AiTM攻撃に最も効く対策は、中継そのものを成立させないフィッシング耐性のある認証への移行でした。ここからは、その具体的な選択肢として、FIDO2/パスキーに対応した多要素認証（MFA）ソリューションを紹介します。自社の認証がSMSやワンタイムパスワードにとどまっている場合の、強化の手がかりとしてご覧ください。
以下は、ここで取り上げる2製品の比較表です。多要素認証（MFA）ソリューションは数多くあり、ここではフィッシング耐性のある認証に対応した一例として取り上げます。より幅広く比較したい場合は、後述の主要製品の比較記事もあわせてご覧ください。
| サービス名 | CloudGate UNO | YubiKey as a Service |
|---|---|---|
| 提供形態 | クラウド型IDaaS （SSO・MFA統合） | 物理セキュリティキー （サブスク運用代行付き） |
| 対応認証方式 | パスキー（FIDO2/WebAuthn） 生体認証・OTP CloudGate Authenticator | FIDO2/WebAuthn・FIDO U2F PIV・OpenPGP・OTP（TOTP） |
| パスワードレス対応 | ●全プラン・全ユーザー無制限 | ●物理キーで実現 |
| 条件付きアクセス | IP・国/地域・時間帯・ デバイス証明書で制限 | CloudGate UNOと 組み合わせて対応 |
| 導入・運用支援 | 国産IDaaS・日本語サポート | キッティング代行・CSM支援 予備キー同梱 |
| 初期費用 | 要問い合わせ | 要問い合わせ |
| 月額費用 | 440円〜/ユーザー（税込） | 要問い合わせ |
| 無料トライアル | 30日間 | 公式に記載なし |
| 詳細情報 | 公式資料を見る | 公式資料を見る |
※料金・仕様は2026年9月時点の情報です。最新の詳細は各サービスの公式情報・資料をご確認ください。
1. CloudGate UNO（株式会社インターナショナルシステムリサーチ）
株式会社インターナショナルシステムリサーチが自社開発するクラウド型のID管理プラットフォームが、CloudGate UNO（クラウドゲート ウノ）です。シングルサインオン（SSO）・多要素認証・アクセス制限・ID管理を一つに統合し、Google WorkspaceやMicrosoft 365など多数のクラウドサービスと連携します。
AiTM攻撃対策の観点で注目したいのは、FIDO2/WebAuthn準拠のパスキー認証を全プラン・全ユーザーで制限なく利用できる点です。デバイス側で生体認証やPINを検証し、その結果だけをサーバーへ送る仕組みのため、生体情報がネットワークを流れません。
あわせて、IPアドレス制限・国や地域の制限・時間帯制限・デバイス証明書による端末制限といった条件付きアクセスを組み合わせられます。契約数は1,400社以上（公式サイト、2026年8月時点）です。
料金はStandard Plusで1ユーザーあたり月額400円（税込440円）から、30日間の無料トライアルも用意されています。USBセキュリティキーのサブスクリプションを付帯した上位プランもあります。
SMSやワンタイムパスワードを突破する攻撃が広がる状況について、提供元の株式会社インターナショナルシステムリサーチは次のように述べています。
当社が採用しているパスキーのパスワードレス認証は、フィッシング攻撃に対して非常に強い耐性を持ちます。SMS認証やワンタイムパスワードなどの一般的な多要素認証を突破する攻撃手法が顕在化する中、より安全な認証環境を提供します。
2. YubiKey as a Service（株式会社インターナショナルシステムリサーチ）
Yubico社の物理セキュリティキー「YubiKey」を、サブスクリプション型で導入できるサービスです。株式会社インターナショナルシステムリサーチが提供し、キー本体だけでなく、導入支援から運用サポートまでを一体で受けられます。
YubiKeyはFIDO2/WebAuthnに対応したハードウェアトークンで、秘密鍵とPINはキー本体の中に保持され、外部へ送信されません。物理的にキーを持っていないと認証が通らないため、たとえ偽サイトへ誘導されても、攻撃者が認証を再現できない仕組みです。
スマートフォンを使えない・持ち込めない製造現場や医療現場でも使える点も、導入のしやすさにつながります。買い切りではなく運用費として導入でき、故障・紛失時のバックアップキーや、契約期間中のキー種類の変更、専門家による導入・運用支援を含みます。料金体系はプランや台数によるため、詳細は資料や問い合わせで確認する形です。
SMS認証や認証アプリと比較したときの違いについて、提供元の株式会社インターナショナルシステムリサーチは次のように述べています。
全社的なスマートフォン支給が困難であるというコスト面の課題に加え、セキュリティ上の優位性が決め手となります。セキュリティキーはPINコードがなければ悪用が困難なため、紛失時のリスクが極めて低いのが特徴です。
ここで挙げた2製品は、FIDO2／パスキーに対応したソリューションの一例です。認証方式や料金、提供タイプまで含めて多要素認証（MFA）ソリューションを幅広く見比べて選びたい場合は、主要17製品を認証方式・料金・タイプ別に整理した次の比較記事が参考になります。
まとめ
AiTM攻撃は、パスワードや認証コードを破るのではなく、認証が完了した後の「ログイン済みの状態」をセッションCookieごと中継で奪う攻撃です。そのため、SMS・メール・認証アプリのワンタイムパスワードやプッシュ通知といった、利用者が入力・操作する方式では防ぎきれません。対策の中心は、鍵がドメインに束縛されるFIDO2セキュリティキーやパスキーへ認証を移すことにあります。
そのうえで、条件付きアクセス・セッションやトークンの保護と監視・入口のフィルタリング・従業員教育を重ね、認証・認証後・入口の各段階を多層で守ることが現実的です。自社の認証方式がAiTMに耐えるかをまず点検し、耐えない場合は影響の大きい対象から段階的に強化していくことをおすすめします。
一括ダウンロードする
よくあるご質問（FAQ）
Q. AiTM攻撃を受けると、具体的にどのような被害につながりますか？
A. アカウントを乗っ取られ、なりすましメールの送信やビジネスメール詐欺（BEC）、不正送金、機密情報の持ち出しといった被害につながります。Microsoftは、AiTMフィッシングで盗んだセッションを起点に、その後の金融詐欺（BEC）へ発展した事例を報告しています。ログイン一つの突破が、取引先を巻き込む二次被害へ広がりうる点が、AiTM攻撃の怖さです。
Q. パスワードマネージャーの自動入力は、AiTM攻撃の対策になりますか？
A. 一定の効果はありますが、根本的な対策にはなりません。多くのパスワードマネージャーは、登録したドメインと一致しないサイトでは自動入力しないため、偽サイトに気づく手がかりにはなります。
ただし、利用者が手動でIDやパスワードを入力・貼り付けてしまえば、その情報は攻撃者に中継されます。中継そのものを止めるには、鍵が登録ドメインに束縛されるFIDO2やパスキーへの移行が必要です。
Q. SMS認証や認証アプリのワンタイムパスワードは、もう使ってはいけないのですか？
A. SMSや認証アプリのワンタイムパスワードはAiTM攻撃には耐えられませんが、使う意味がなくなったわけではありません。パスワードだけの運用に比べれば、総当たりやパスワードの使い回しによる不正ログインを大きく減らせます。ただしAiTM攻撃を想定するなら、乗っ取られた際の影響が大きいアカウントから順にFIDO2やパスキーへ移し、ワンタイムパスワードは補助的な位置づけに寄せていくのが安全です。
Q. FIDO2セキュリティキーやパスキーにすれば、AiTM攻撃を完全に防げますか？
A. FIDO2セキュリティキーやパスキーは認証の中継そのものを成立させないため、AiTM攻撃に対しては非常に有効ですが、あらゆる脅威を単独で防ぐわけではありません。米国のCISAも、広く使えるフィッシング耐性のある認証はFIDO/WebAuthnだけだとしています。
一方で、端末のマルウェア感染や別経路でのセッション情報の窃取といった、認証以外の入口は残ります。認証方式の移行を軸に、条件付きアクセス・セッション監視・入口対策を重ねる多層防御を前提にしてください。
Q. すぐにFIDO2やパスキーへ移行できない場合、当面はどうすればよいですか？
A. すぐに全面移行できない場合は、管理者や経営層など影響の大きいアカウントから段階的にFIDO2/パスキーを導入し、並行して条件付きアクセスとセッション監視で当面のリスクを抑えます。会社が管理するデバイスや登録済みのIPアドレス・地域からのみログインを許可する設定は、盗まれたセッションを別の環境から再利用しようとする動きを制限でき、移行が完了するまでの時間を稼げます。
入口側のメール・URLフィルタもあわせて有効です。
Q. 自社がAiTM攻撃を受けたかどうか、どうやって気づけますか？
A. AiTM攻撃は気づきにくいものの、ログイン前後で国・IPアドレス・デバイス・ブラウザが急に変わる、見慣れない環境からのセッションが継続している、といった不自然な兆候から検知できます。認証ログを蓄積し、こうした一貫性の崩れを監視しておくと、中継を許した場合でも早期に発見して該当セッションを遮断できます。
利用者にとっては、入力した覚えのないログイン通知や、心当たりのない多要素認証の承認要求も手がかりになります。
Q. AiTM攻撃でセッションを盗まれた場合、パスワードを変更すれば安全になりますか？
A. パスワードの変更だけでは不十分で、盗まれたセッションCookie（トークン）を無効化しない限り、攻撃者はログイン済みの状態のまま侵入を続けられます。AiTM攻撃で奪われるのは、パスワードそのものではなく認証を通過した後のセッションです。被害が疑われる場合は、全セッションのサインアウト（トークンの失効）とデバイスの点検、パスワードや認証方式の見直しをあわせて行う必要があります。
Q. 中小企業や規模の小さい組織でも、AiTM攻撃の標的になりますか？
A. AiTM攻撃は組織の規模を問わず標的になり得ます。攻撃キットがサービスとして安価に流通し、専門知識がなくても実行できるようになりました。そのため攻撃者は、特定の大企業だけでなく、Microsoft 365やGoogle WorkspaceなどのクラウドIDを使う組織を幅広く狙います。
「自社は小さいから狙われない」という前提は成り立たず、クラウドで認証を運用しているなら対策の検討対象になります。
Q. プッシュ通知の番号照合（マッチング）を使えば、AiTM攻撃を防げますか？
A. プッシュ通知の番号照合はMFA疲労攻撃には有効ですが、AiTM攻撃のセッション中継は防げません。番号照合は、攻撃者が承認を連打させて利用者の誤操作を誘う手口を防ぐ仕組みで、利用者自身が正規サイトだと思い込んで承認してしまうAiTM攻撃には効きません。中継そのものを止めるには、鍵が登録ドメインに束縛されるFIDO2やパスキーへの移行が必要です。
多要素認証（MFA）システムの料金・資料を一括チェック
MCB FinTechカタログでは、AiTM攻撃対策に有効なフィッシング耐性MFAをはじめ、多要素認証（MFA）システムの最新資料を無料で一括請求できます。認証方式・料金・対応範囲を比べて、自社に合うソリューションを検討できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
