令和7年度 秋期 プロジェクトマネージャ試験 午前Ⅱ 問23
テクノロジ／セキュリティ多要素認証疲労攻撃の例はどれか。
出典：令和7年度 秋期 プロジェクトマネージャ試験 午前Ⅱ 問23
- ア顔認証で画面ロックを解除できるスマートフォンを攻撃者が不正に使い，所有者が疲労して寝ている隙にその寝顔を利用して画面ロックの解除を試みる。
- イ攻撃者の用意した偽サイトに利用者を誘導し，利用者のパスワード，電話番号など認証に関する複数の要素を不正に取得する。
- ウ多要素認証を利用可能なシステムの利用者に，攻撃者が“システムへの多要素認証でのログインが必要です”という偽の電子メールを繰り返し送り付け，利用者がうっかりログインしてしまうのを待つ。
- エパスワード認証とスマートフォンへのプッシュ通知による認証を採用しているシステムにおいて，利用者がプッシュ通知の承認操作を行うまで，攻撃者が不正なログイン操作を繰り返す。
正解：エ
解説
多要素認証疲労攻撃（MFA fatigue攻撃）とは，攻撃者が事前に窃取したパスワードなどを使って何度もログインを試み，正規のプッシュ通知を利用者の端末に大量に送りつけ続けることで，利用者が根負けしたり誤って承認したりするのを狙う攻撃です。偽サイトやなりすましメールで認証情報を盗み取る手口とは異なります。
選択肢ごとの解説
- ア誤り。所有者の寝顔を利用して顔認証を突破しようとする行為は，生体認証の脆弱性を突いた攻撃であり，多要素認証疲労攻撃ではありません。
- イ誤り。偽サイトに誘導してパスワードなどの認証要素を盗み取る行為は，フィッシング攻撃であり，多要素認証疲労攻撃ではありません。
- ウ誤り。偽の電子メールを送ってログインさせようとする行為は，フィッシングの一種であり，実際のプッシュ通知を大量に送り付ける多要素認証疲労攻撃とは異なります。
- エ正しい。利用者がプッシュ通知を承認するまで不正なログイン操作を繰り返し，大量の認証プッシュ通知を送り付けて根負けを狙うのが，多要素認証疲労攻撃です。