多要素認証（MFA）の限界と「フィッシング耐性認証」への変革
背景と概要
長年、セキュリティのベストプラクティスとして「パスワード＋多要素認証（MFA）」の導入が強く推奨されてきました。多くの企業がSMSコード、認証アプリ（Google Authenticator等）のワンタイムパスワード（OTP）、プッシュ通知による承認フローを導入し、セキュリティの向上を図ってきました。
しかし、攻撃者がMFAを回避・無効化する手口（MFA Fatigue攻撃やAiTMフィッシングなど）を確立したことで、「MFAを設定しているだけでは防ぎきれない」という現実が浮き彫りになりました。これを受け、米国CISA（国土安全保障省サイバー・インフラ安全局）をはじめとする規制機関は、従来のMFAから「フィッシング耐性のあるMFA（Phishing-Resistant MFA）」への迅速な移行を求めるようになっています。
従来のMFAが抱える構造的弱点と攻撃手法
攻撃者は、人間の心理的隙や認証通信の仕様を巧みに突いてきます。
- AiTM（Adversary-in-the-Middle）フィッシング
前述の通り、本物のログイン画面を中継するプロキシを挟むことで、ユーザーが入力したID・パスワードだけでなく、スマホに届いたOTPコードまでリアルタイムで盗み出し、攻撃者側でセッションを確立します。
- MFAファティーグ（MFA Fatigue / プッシュ通知連打）
深夜などに被害者のスマートフォンへ「ログイン承認」のプッシュ通知を数十〜数百回連続で送信し続け、疲弊した被害者や「誤操作」した被害者に「承認」ボタンを押させるソーシャルエンジニアリング手口です。
- SIMスワッピング（SMS認証の強奪）
携帯キャリアの手続きを偽装して被害者の電話番号を攻撃者のSIMカードへ引き継がせる（SIMスワッピング）ことで、SMSで届く認証コードを直接受信・盗み出します。
「フィッシング耐性のある認証」の仕組みと優位性
フィッシング耐性のある認証の代表格が、公開鍵暗号技術に基づく「FIDO2 / WebAuthn（パスキーやハードウェアセキュリティキー）」です。
FIDO2規格による認証では、ユーザーがアクセスしているブラウザの「ドメイン名（URL）」と、端末内に安全に保管されている「暗号鍵」が物理的・数学的に結合されています。仮にユーザーが精巧な偽フィッシングサイトに誘導されても、ブラウザがドメインの違い（例: `microsoft.com` と `micros0ft-login.com`）を自動検知するため、暗号鍵の署名処理自体が発生せず、ログイン試行は物理的に失敗します。
企業における認証基盤刷新のアプローチ
段階的かつ実現可能なロードマップで認証を強化することが推奨されます。
- FIDO2ハードウェアキー（YubiKey等）の配布
特権管理者、役員、開発者など、重要システムにアクセスする高リスクなユーザーに対してセキュリティキーを配布し、ハードウェアベースの認証を必須化します。
- パスキー（Passkeys）の社内導入
Windows HelloやApple Touch ID/Face IDを活用した「デバイス同期型パスキー」を業務端末に適用し、従業員がパスワードを入力・記憶する必要のない環境（パスワードレス）を作ります。
- プッシュ通知型MFAのセキュリティ強化（移行期の過渡的措置）
パスキーへの即時移行が難しいシステムについては、単なる「承認ボタン」ではなく、PC画面に表示された2桁の数字をスマホ側に入力させる「ナンバーマッチング（Number Matching）」機能を有効化し、ファティーグ攻撃を防ぎます。