--- id: "phishing-005" title: "MFA疲労攻撃とプッシュ爆撃: パスワードを破らずに二要素認証を突破する手口と対策" description: "MFA疲労攻撃（プッシュ爆撃）の仕組みと脅威を徹底解説。従業員が深夜の不審な通知に誤認承認しないための組織的ルールと、情シス・CISOが導入すべき技術的対策（ナンバーマッチング等）を分かりやすくまとめました。" canonical: https://startbrain.io/ja/cybersecurity/mfa-fatigue-push-bombing-mitigation-ciso-japan/ slug: "mfa-fatigue-push-bombing-mitigation-ciso-japan" date: "2026-10-02" category: "phishing" product: "superphisher" lang: ja author: "Brain Security · サイバー＆ヒューマンリスク研究開発部門" frameworks: "IPA · 経済産業省(METI) · 個人情報保護法(APPI) · JPCERT/CC · ISO 27001" --- # MFA疲労攻撃（プッシュ爆撃）: 認証コードを奪わずに二要素認証を突破する手口と対策 深夜23時42分。就寝直前の従業員のスマートフォンが突如振動します。画面にはMicrosoft Authenticatorなどの認証アプリから「サインインを承認しますか？」という通知が表示されています。従業員は「何かの誤作動だろう」と考え、画面を伏せて無視します。しかし2分後、さらに3件の連続した通知が届きます。続いて5件。眠りを妨げる連続した通知音に苛立ち、「通知を止めたい」「システムの同期エラーだろう」と思い込んだ従業員は、反射的に「承認」をタップしてしまいます。その瞬間、攻撃者は企業の基幹システムへの侵入を完了しました。 このシナリオは決して架空の話ではありません。近年、国内外のグローバル企業や大手IT企業を揺るがした実在のサイバー攻撃で用いられた手口そのものです。多要素認証（MFA）は現代のゼロトラスト環境における必須の防壁ですが、その承認プロセスを担う「人間」の心理的疲労を突く手口が確立されています。国内企業のCISO、情報セキュリティ責任者、情報システム部門にとって、この「MFA疲労攻撃（プッシュ爆撃）」のメカニズムを理解し、実務的な対策を講じることは喫緊の課題です。 --- ## MFA疲労攻撃（プッシュ爆撃）の仕組みと従業員が身につけるべき初動対応 > **要約 : MFA疲労攻撃（プッシュ爆撃）とは、攻撃者が短時間に大量の承認通知（プッシュ通知）を送りつけ、ターゲットが疲労や誤認によって「承認」を押してしまう隙を突く攻撃です。従業員が徹底すべき鉄則はただ一つ、「身に覚えのない認証要求は即座に拒否し、直ちに情報システム部門やCSIRTへ通報する」ことです。** MFA疲労攻撃の根本には、ある明確な前提が存在します。それは、攻撃者がインフォスティーラー（情報窃取マルウェア）、ダークウェブの漏洩データベース、または精巧な標的型フィッシング攻撃によって、**対象アカウントの正しいIDとパスワードを事前に入手済みである**という点です。侵入の最後の壁として立ちはだかるのが、スマートフォンでの2段階目の認証承認です。 攻撃者は高度な暗号解読を試みる代わりに、自動化スクリプトを用いて連続的かつ執拗にサインイン要求を送信します。この手法は、以下のような人間の心理的バイアスを巧みに悪用します。 - **認知的過負荷と心理的消耗 :** 鳴り止まない通知音とバイブレーションにより、思考力を奪い、「早くこの煩わしい通知を止めたい」という衝動を誘発します。 - **システムの不具合という思い込み :** 「深夜の自動アップデートだろう」「メールサーバーの再同期エラーだろう」と、都合の良い技術的解釈をして安易に承認してしまう傾向です。 - **ソーシャルエンジニアリングの併用 :** さらに巧妙なケースでは、チャットツールや電話（ビッシング）を組み合わせ、情シスやヘルプデスクを装って「現在サイバー攻撃を検知したため、通知を承認してブロック処理を完了させてください」と心理的誘導を行います。 社内全体に徹底すべきセキュリティ原則は極めてシンプルです。**「自ら意図してログイン操作を行っている瞬間以外、届いたプッシュ通知は絶対に承認してはならない」**ということです。ログイン操作を行っていないタイミングで届いた通知は、現在進行形でアカウント侵害が発生している重大なインシデント兆候として扱う必要があります。 --- ## なぜ従来の攻撃ではなくプッシュ爆撃が多用されるのか > **要約 : プッシュ爆撃は、端末へのマルウェア感染やリバースプロキシ型フィッシングのような複雑なインフラを構築せずとも、二要素認証をすり抜けられるからです。最も手軽で利便性の高い「ワンタップ承認」の仕組みそのものが、深刻な運用上の脆弱性に反転しています。** これまでセキュリティ部門は、SMSの認証コードやTOTP（ワンタイムパスワード）の手間を省き、ユーザービリティを向上させるためにプッシュ通知型のMFAを積極的に導入してきました。しかし、この「ワンタップで完了する快適さ」こそが、攻撃者にとっての格好の侵入口となっています。 ### コンテキスト情報の欠如 標準的なプッシュ通知設定では、画面に「サインイン要求: 承認 / 拒否」といった極めて単純な選択肢しか表示されません。接続元のIPアドレス、地域、アクセス元のデバイス名などのコンテキスト情報が希薄な場合、急いでいる従業員はWebサイトのCookie許諾に同意するのと同じ感覚で、反射的に「承認」を押してしまいます。 この脆弱性を防ぐ技術として普及しているのが**ナンバーマッチング（数値一致）**です。PC画面上に表示された2桁の数字をスマートフォンの認証アプリ側に入力しない限り承認できない仕組みであり、遠隔の攻撃者による単なる画面連打を防ぐ効果があります。しかし、攻撃者が電話等で「画面の番号を読み上げさせる」手口に移行しているため、技術的対策だけに依存することは危険です。 組織の従業員が、このような心理的プレッシャーやなりすまし要求に対して冷静に対処できるかどうかを測るには、実戦的な演習が不可欠です。Brain Securityが提供するフィッシングシミュレーター [Super Phisher](/en-us/catalog/super-phisher/) は、最新のソーシャルエンジニアリング手法を模した訓練シナリオを通じて、組織全体の耐性とインシデント報告率を可視化します。 --- ## 被害を無効化するための技術的および人的対策 MFA疲労攻撃から組織の基幹インフラを防護するためには、IdP（IDプロバイダー）側のポリシー強化と、従業員のリテラシー向上の両輪で取り組む必要があります。IPAの「情報セキュリティ10大脅威」や経済産業省の「サイバーセキュリティ経営ガイドライン」の観点を踏まえ、以下の5つの実装を推奨します。 - **ナンバーマッチング（数値一致）の必須化 :** PCのログイン画面に表示された動的な数字をモバイルアプリに入力させる運用を強制します。攻撃者が物理的に画面を視認できない限り、承認を完了できません。 - **リクエスト頻度の制限（レートリミット） :** 一定時間内に連続してプッシュ通知が拒否または無視された場合、対象アカウントのサインインを自動的に一時ロックする条件付きアクセスポリシーを設定します。 - **リスクベース認証（コンテキスト制限） :** 普段と異なる海外IPアドレス、Torノード、公衆プロキシ経由のアクセスからの認証要求をゲートウェイで自動遮断します。 - **ワンクリック通報ルートの整備 :** 不審な通知を受け取った際、怒られる心配をすることなく、従業員が情シスやSOCへ即座に通報できる仕組みを構築します。 - **FIDO2ハードウェアキーの導入 :** 特権管理者、経営層・取締役会、財務部門などの高リスクなアクセス権限を持つユーザーには、フィッシングや疲労攻撃に耐性を持つ物理セキュリティキー（FIDO2準拠）の配布を推奨します。 多要素認証は導入すれば完了する万能の盾ではありません。その真価は、認証デバイスを手に持つ従業員自身の状況判断能力にかかっています。強固なシステム設定と継続的な体験型トレーニングを組み合わせることで、通知の連打による心理的攻撃を完全に無力化することが可能です。 最新のソーシャルエンジニアリング手法に対する貴社の防御力や、実践的な教育計画の策定に関心をお持ちの際は、ぜひ[デモ予約・お問い合わせ](/en-us/book-a-demo/)よりご相談ください。 ### 15 / 30 / 60 / 90-Day Rollout Plan: MFA疲労攻撃とプッシュ爆撃: パスワードを破らずに二要素認証を突破する手口と対策 | Horizon | Priority Workstream | Operational Implementation | Reference Section | | --- | --- | --- | --- | | **D+15 · Scope** | 認知的過負荷と心理的消耗 | 鳴り止まない通知音とバイブレーションにより、思考力を奪い、「早くこの煩わしい通知を止めたい」という衝動を誘発します。 | MFA疲労攻撃（プッシュ爆撃）の仕組みと従業員が身につけるべき初動対応 | | **D+30 · Pilot** | ナンバーマッチング（数値一致）の必須化 | PCのログイン画面に表示された動的な数字をモバイルアプリに入力させる運用を強制します。攻撃者が物理的に画面を視認できない限り、承認を完了できません。 | 被害を無効化するための技術的および人的対策 | | **D+60 · Rollout** | システムの不具合という思い込み | 「深夜の自動アップデートだろう」「メールサーバーの再同期エラーだろう」と、都合の良い技術的解釈をして安易に承認してしまう傾向です。 | MFA疲労攻撃（プッシュ爆撃）の仕組みと従業員が身につけるべき初動対応 | | **D+90 · Audit** | リクエスト頻度の制限（レートリミット） | 一定時間内に連続してプッシュ通知が拒否または無視された場合、対象アカウントのサインインを自動的に一時ロックする条件付きアクセスポリシーを設定します。 | 被害を無効化するための技術的および人的対策 | --- ## 関連コラムおよびBrain Securityのソリューション ### このテーマに関連するおすすめ記事 - **[スミッシング対策：従業員のSMS・モバイル詐欺耐性を高める実践的訓練手法](/ja/cybersecurity/smishing-attack-prevention-mobile-security-japan/)** (Phishing & Social Engineering) : 企業を脅かすスミッシング（SMSフィッシング）の手口と対策を解説。モバイル環境特有の脆弱性を理解し、情報システム部門やセキュリティ担当者が実践すべき組織的な防御態勢と訓練のポイントを網羅します。 - **[ヴィッシング詐欺の手口とは：電話で情シスや現場を操るソーシャルエンジニアリングの脅威と対策](/ja/cybersecurity/vishing-voice-phishing-helpdesk-social-engineering/)** (Phishing & Social Engineering) : 情報システム部門やヘルプデスクを狙うヴィッシング（音声フィッシング）の手口を解説。MFA疲労攻撃の併用や音声AIクローンを悪用した心理誘導の実態、社内運用ルールと体験型訓練による実践的な防御策を日本のCISO向けに提示します。 - **[タイポスクワッティングとホモグラフ攻撃：従業員がURLの偽装を見抜く実践的セキュリティ教育](/ja/cybersecurity/typosquatting-homograph-attack-url-security-guide/)** (Phishing & Social Engineering) : タイポスクワッティングやホモグラフ攻撃など、巧妙化するフィッシングURLの見分け方を解説。情シスやCISO向けに従業員の不審サイト検知能力を高める教育手法と実践的な対策を紹介します。 - **[法律事務所・コンサルティングファームの標的型攻撃対策: 守秘義務と機密情報を守るセキュリティ](/ja/cybersecurity/law-firm-consulting-spear-phishing-ciso-japan/)** (Industries & Roles) : 法律事務所や戦略コンサルティングファームがサイバー攻撃者に狙われる理由と、パートナーやアソシエイトを標的型スピアフィッシングから守る実践的なセキュリティ対策をCISO・情シス向けに解説します。 ### Brain Securityの製品・ソリューション一覧 - **関連ソリューション : [Super Phisher](/en-us/catalog/super-phisher/)** : 実践的な標的型攻撃メール訓練（Super Phisher）：リアルなフィッシング演習と即時フィードバックで不審メール報告率を向上。 - **[課題・業界別のユースケースを見る](/en-us/use-cases/)** - **[サイバーセキュリティ＆AI意識向上フォーマットを比較する](/en-us/compare/)** - **[Brain Securityの製品カタログをすべて見る](/en-us/catalog/)** - **[導入のご相談・デモ予約はこちら（担当チームへのお問い合わせ）](/en-us/book-a-demo/)** --- - https://startbrain.io/ja/cybersecurity/mfa-fatigue-push-bombing-mitigation-ciso-japan/ - [Français](https://startbrain.io/fr/cybersecurite/fatigue-mfa-push-bombing-authentification/) - [Deutsch](https://startbrain.io/de/cybersecurity/mfa-fatigue-push-bombing-abwehren/) - [English (UK)](https://startbrain.io/en-gb/cybersecurity/mfa-fatigue-push-bombing-security-guide/) - [English (US)](https://startbrain.io/en-us/cybersecurity/mfa-fatigue-push-bombing-bypass-guide/) - [Español](https://startbrain.io/es/cyberseguridad/mfa-fatigue-push-bombing-ataque-doble-autenticacion/) - [Italiano](https://startbrain.io/it/sicurezza-informatica/mfa-fatigue-push-bombing-autenticazione-sicurezza/) - [Nederlands](https://startbrain.io/nl/cybersecurity/mfa-fatigue-push-bombing-tweefactorauthenticatie-omzeilen/) - [Português](https://startbrain.io/pt/ciberseguranca/fadiga-mfa-push-bombing-contornar-autenticacao/) - [Polski](https://startbrain.io/pl/cyberbezpieczenstwo/mfa-fatigue-push-bombing-atak-uwierzytelnianie/) - [Svenska](https://startbrain.io/sv/cybersakerhet/mfa-fatigue-push-bombing-guide-ciso/) - [Dansk](https://startbrain.io/da/cybersikkerhed/mfa-fatigue-push-bombing-totrinsgodkendelse-ciso/) - [Suomi](https://startbrain.io/fi/kyberturvallisuus/mfa-fatigue-push-bombing-kaksivaiheinen-tunnistautuminen/) - [Norsk](https://startbrain.io/no/cybersikkerhet/mfa-fatigue-push-bombing-sikkerhet-ciso/) - [English (Canada)](https://startbrain.io/en-ca/cybersecurity/mfa-fatigue-push-bombing-identity-defence-canada/) - [llms.txt](https://startbrain.io/llms.txt)