多要素認証疲労攻撃の例はどれか。

選択肢

• ア顔認証で画面ロックを解除できるスマートフォンを攻撃者が不正に使い、所有者が疲労して寝ている隙にその寝顔を利用して画面ロックの解除を試みる。
• イ攻撃者の用意した偽サイトに利用者を誘導し、利用者のパスワード、電話番号など認証に関する複数の要素を不正に取得する。
• ウ多要素認証を利用可能なシステムの利用者に、攻撃者が“システムへの多要素認証でのログインが必要です”という偽の電子メールを繰り返し送り付け、利用者がうっかりログインしてしまうのを待つ。
• エパスワード認証とスマートフォンへのプッシュ通知による認証を採用しているシステムにおいて、利用者がプッシュ通知の承認操作を行うまで、攻撃者が不正なログイン操作を繰り返す。

正解と解説

正解：エ パスワード認証とスマートフォンへのプッシュ通知による認証を採用しているシステムにおいて、利用者がプッシュ通知の承認操作を行うまで、攻撃者が不正なログイン操作を繰り返す。

多要素認証疲労攻撃（MFA疲労攻撃）は、攻撃者がパスワードを既に入手している状態で不正ログインを何度も試み、利用者のスマートフォンへプッシュ通知を大量に送りつける手口である。通知に煩わされた利用者が、誤ってあるいは根負けして承認操作をしてしまうことを狙う。利用者の疲弊そのものを攻撃手段にしている点が特徴となる。

選択肢ごとの解説

• ア生体情報の悪用であり、通知を繰り返して承認を誘う手口ではない。
• イフィッシングの説明。偽サイトで認証情報を詐取する手法。
• ウ偽メールを繰り返すフィッシングであり、プッシュ通知の承認を狙う攻撃ではない。
• エ正しい。承認されるまで不正ログインを繰り返し通知を送り続ける手口。

同じ分野の他の問題

• 複数のシステムやサービスの間で利用されるSAMLはどれか。2024年度 秋期 午前II 問23
• Webサーバでのシングルサインオンの実装方式に関する記述のうち、適切なものはどれか。2022年度 秋期 午前II 問24
• 認証局が発行するCRLに関する記述のうち、適切なものはどれか。2022年度 秋期 午前II 問23
• DNSSECの機能はどれか。2021年度 秋期 午前II 問25
• シングルサインオンの実装方式に関する記述のうち、適切なものはどれか。2020年度 10月試験 午前II 問23