AiTMフィッシング攻撃の手口とは: 偽ページで多要素認証(MFA)が突破される理由と対策

長年にわたり、多要素認証（MFA）の導入はアカウント情報の搾取を防ぐ究極の防御策として推奨されてきました。情報システム部門やセキュリティ責任者（CISO）にとって、SMSによるワンタイムパスワードやスマートフォンのプッシュ通知を義務付けることは、一般的なフィッシング攻撃の99%を無力化できる確実な手段だと考えられていました。しかし、この常識は「AiTM（Adversary-in-the-Middle: 中間者型）」フィッシング攻撃の急増によって根底から覆されつつあります。

現在では、従業員が正規の手順に従ってIDとパスワードを入力し、手元のスマートフォンで追加認証を承認したとしても、クラウド環境や社内メールボックスの管理者権限を含むアクセス権が瞬時に奪撃されるケースが頻発しています。攻撃者はパスワードを解読しようとしているのではありません。アクセス制御のプロセスそのものを巧妙に回避しています。自組織のセキュリティ戦略や従業員教育をアップデートするために、この技術的脅威の仕組みを正しく把握することが不可欠です。

AiTMフィッシングはどのようにMFAセッショントークンを強奪するのか？#

要点整理 : AiTMキットは、標的のユーザーと正規サーバーの間でリアルタイムに通信を中継する「悪意あるリバースプロキシ」として機能します。利用者が2段階認証を完了させた瞬間に正規サーバーから発行されるセッションクッキー（認証トークン）を横取りし、即座になりすましログインを実行します。

従来のフィッシングサイトは、ログイン画面の外見をコピーして入力された文字列（IDやパスワード）を窃取する静的なものでした。一方、AiTMのインフラは完全に動的なリレー構造を持っています。

• 通信のミラーリング（リアルタイム中継） : 攻撃者は本物と酷似したドメイン上にリバースプロキシサーバーを構築します。被害者が偽のリンクをクリックすると、攻撃者のサーバーが正規のクラウドサービス（Microsoft 365やGoogle Workspace等）の実際のログイン画面をリアルタイムで読み込み、利用者のブラウザに転送します。
• 第1要素（パスワード）の通過 : 被害者がIDとパスワードを入力すると、リバースプロキシはそれを即座に正規サービスへ転送します。正規サーバーはそれを受理し、通常通り追加の認証要素（2FA）を要求します。
• MFAの承認 : 被害者の端末に認証アプリの通知や6桁のワンタイムコードが届き、ユーザーは普段通りの正規の挙動であると信じて認証を完了させます。
• セッションクッキーの搾取 : MFA認証が成功した瞬間、正規サーバーはログイン状態を維持するための認証トークン（セッションクッキー）を発行します。AiTMプロキシはこの正規トークンを途中で奪取し、被害者の画面は何食わぬ顔で正規ポータルなどへリダイレクトさせます。

攻撃者は奪い取ったセッションクッキーを自身のブラウザにインポートするだけで、パスワードの再入力もMFAの再要求も一切受けることなく、被害者のアカウントとしてクラウド環境へ侵入できてしまいます。

なぜ従来の2段階認証ではセッションハイジャックを防げないのか？#

要点整理 : SMS認証、TOTP（認証アプリ）、標準的なプッシュ通知などの従来型MFAは、ブラウザがアクセスしているWebドメインと暗号技術的に紐付けられていません。これらは「その瞬間に本人が操作していること」を証明するだけであり、「アクセス先URLの正当性」を検証する仕組みを持たないためです。

スマートフォンに表示される認証コードやSMSによるワンタイムパスワードには、根本的な弱点が存在します。それは「人間が介在してコードを画面に入力する」という点です。人間が介在する以上、精巧に偽装された画面にそのコードを入力するよう誘導されれば、いとも簡単に騙されてしまいます。

プッシュ通知やTOTPアプリの限界

近年普及した「番号一致（Number Matching）」機能を備えたプッシュ通知であっても、AiTM攻撃の前では無力化されます。正規サーバーが画面上に提示した照合用番号を、リバースプロキシが被害者の画面へリアルタイム表示するため、ユーザーは何の疑いもなくスマートフォン側で同じ番号を選択してしまうためです。

FIDO2およびパスキー（Passkey）への移行の必然性

この脆弱性を根本から解決するアプローチとして、米CISAや日本のIPA（情報処理推進機構）なども推奨しているのが、FIDO2およびWebAuthn規格に基づく「フィッシング耐性のあるMFA（Phishing-Resistant MFA）」です。

• ドメインとの暗号学的バインド : セキュリティキー（ハードウェアトークン）やパスキーを用いたFIDO2認証では、ブラウザがアクセス先の完全修飾ドメイン名（FQDN）を取得し、認証デバイスと直接暗号検証を行います。
• 偽ドメインでの自動遮断 : 仮にユーザーが不審なドメイン（正規URLに似せた詐欺ドメイン）上で認証を試みても、認証鍵側でオリジンが不一致であると判定され、署名プロセスが自動的に停止します。AiTMプロキシには何も暗号データが渡らないため、セッションは成立しません。

企業の現場におけるAiTMフィッシング対抗策#

FIDO2対応の物理セキュリティキーやパスキーの全社展開には、一定の移行期間やシステムの改修が必要となります。技術的な移行を進める一方で、情シスやSOC/CSIRTは今すぐ実行可能な運用上の対策を講じる必要があります。

条件付きアクセスポリシーの厳格化

窃取されたセッションクッキーが悪用されるリスクを最小限に抑えるため、以下のようなアクセス制御ルールを適用します。

• 準拠デバイスの必須化 : MDM（モバイルデバイス管理）等で管理されている会社支給の登録済み端末以外からのセッション利用を拒否します。
• 不審なサインインの検知と遮断 : 短時間での地理的な移動（例 : 東京でログイン承認が行われた数分後に海外IPアドレスからAPIリクエストが発生するなど）をリアルタイムに検知し、セッションを強制破棄します。
• セッション有効期限の短縮 : 重要システムにおけるトークンの保持時間を短く設定し、再認証の頻度を上げることで、攻撃者に許される活動時間を極小化します。

URL検証の徹底と体験型訓練の実施

AiTM攻撃の最大の弱点は「ドメイン名そのものを正規ドメインと完全に一致させることはできない」という点です。どれほど精巧に画面が複製されていても、ブラウザのアドレスバーに表示されるドメインには必ず不審な差異が存在します。

しかし、単に「URLを確認してください」と周知するだけの形式的な標的型攻撃メール訓練では、巧妙化する攻撃を防ぐことは困難です。実際の脅威環境に近いシチュエーションを体験し、従業員一人ひとりが違和感に気づく実践力を養う必要があります。Brain Securityの訓練シミュレーター Super Phisher を活用すれば、最新の偽装手口を取り入れたシナリオを通じて、認証情報を入力する前にURLの真正性を確認する確実なセキュリティ行動を組織に定着させることができます。

BRAIN SECURITY プロダクト実践画面 · Super Phisher

技術的統制と「人のセキュリティ意識」の融合#

多要素認証を迂回するAiTM攻撃の登場は、攻撃者の手口がいかに急速に進化しているかを物語っています。「MFAを導入しているから安心」という油断は、組織にとって最大のセキュリティホールになり得ます。

最も強固な防御体制は、FIDO2導入などの強固なインフラ整備、アクセス制御の綿密な設計、そして最新のソーシャルエンジニアリング手口に対応した継続的な人材育成を組み合わせることで初めて完成します。自社のセキュリティレジリエンスを測定し、形骸化しない実践的な訓練プログラムを構築したいとお考えのご担当者様は、ぜひ Brain Securityへご相談 ください。

関連コラムおよびBrain Securityのソリューション#

このテーマに関連するおすすめ記事

• ビジネスSNSを悪用したソーシャルエンジニアリング : 偽のスカウトに潜む標的型サイバー攻撃の手口 (Phishing & Social Engineering) : ビジネスSNS上の偽求人やスカウトDMを悪用したサイバー攻撃が急増しています。OSINTによる事前調査から侵入に至る心理誘導の手口、情シスやCISOが講じるべき境界防御を超えた実践的対策を徹底解説します。
• 標的型攻撃メール訓練の通報率：なぜCISOは開封率・クリック率偏重を脱却すべきなのか (Phishing & Social Engineering) : フィッシング訓練でクリック率ばかり追っていませんか。本記事では、被害拡大を防ぐ重要指標「通報率」と初動検知速度の重要性を解説。社員を監視対象ではなく能動的な防御センサーに変え、数分で脅威を封じ込めるセキュリティ体制を築く方法をご紹介します。
• ベイティングと標的型USB攻撃：人間の好奇心が企業ネットワーク侵入の致命的な突破口になる理由 (Phishing & Social Engineering) : オフィスや展示会場に放置された不審なUSBメモリや偽装充電ケーブル。人間の善意や好奇心を突くソーシャルエンジニアリング「ベイティング」の危険性と、CISO・情シスが講じるべき物理セキュリティ対策を解説します。
• 法律事務所・コンサルティングファームの標的型攻撃対策: 守秘義務と機密情報を守るセキュリティ (Industries & Roles) : 法律事務所や戦略コンサルティングファームがサイバー攻撃者に狙われる理由と、パートナーやアソシエイトを標的型スピアフィッシングから守る実践的なセキュリティ対策をCISO・情シス向けに解説します。

Brain Securityの製品・ソリューション一覧

• 関連ソリューション : Super Phisher : 実践的な標的型攻撃メール訓練（Super Phisher）：リアルなフィッシング演習と即時フィードバックで不審メール報告率を向上。
• 課題・業界別のユースケースを見る
• サイバーセキュリティ＆AI意識向上フォーマットを比較する
• Brain Securityの製品カタログをすべて見る
• 導入のご相談・デモ予約はこちら（担当チームへのお問い合わせ）