2要素認証回避とは？OTPを突破する攻撃手口と対策

【深掘り】これだけは知っておけ

二要素認証（2FA）は、パスワード（知識情報）に加えて、ワンタイムパスワード（OTP）や認証アプリのコードなど別の要素を要求することで、パスワードが漏れてもアカウントを守る仕組みです。しかし、これを突破する手口が複数存在します。最も多いのが中間者攻撃型の「リアルタイムフィッシング」です。攻撃者は正規サイトそっくりの偽サイトを用意し、被害者がIDとパスワードを入力すると、それをリアルタイムで正規サイトに入力します。次に偽サイトでOTPの入力を求め、被害者が入力した瞬間に、有効期限1分程度のOTPを盗んで即座に正規サイトに入力し、不正ログインを完了させます。正規の手順でOTPが発行されるため、サービス提供者側も不正に気づきにくいのが特徴です。

他の手口として、SIMスワップ（携帯電話番号を乗っ取ってSMSのOTPを受信する）、SMS傍受、マルウェアによるOTP窃取があります。ESETは、トルコの暗号資産交換所BtcTurkのアプリを装い、SMSのアクセス許可を使わずに端末の通知からOTPを読み取る悪意あるアプリを発見しました。このアプリは2FA通知を読み取るだけでなく、被害者に気づかせないために通知を無効化する機能も持っていました。重要なのは、二要素認証の方式によって安全性が異なる点です。SMSによるOTPはSIMスワップやSMS傍受のリスクがあるため、高価値な用途では推奨されません。認証アプリ（TOTP）やパスキー（FIDO2）の方が安全性が高いとされています。

実践的な対策として、可能な限りSMS認証ではなく認証アプリやパスキーを選ぶこと。ログイン画面のURLを必ず確認し、少しでも不審なら入力しないこと。メールやSMSのリンクからログインせず、ブックマークや公式アプリからアクセスすること。OSとアプリを最新に保ち、不審なアプリをインストールしないこと。SIMスワップ対策として携帯キャリアに本人確認の強化を依頼すること。二要素認証は依然として強力な防御策ですが、「設定したから絶対安全」ではありません。手口を理解し、より安全な認証方式を選ぶことが、回避攻撃への備えになります。

2要素認証回避の主な手口

典型的なフレーズ・文脈

詐欺師

（中間者攻撃の実行中）偽サイトに被害者がID・パスワードを入力した。即座に正規サイトに入力してOTP送信をトリガー。被害者のスマホにOTPが届いた。偽サイトでOTP入力欄に入った瞬間、正規サイトに転記してログイン完了。

キャスター

セキュリティ専門家は、二要素認証を突破するリアルタイムフィッシングが急増しているとして、有効期限の短いワンタイムパスワードも入力直後に窃取されると警告し、SMS認証より認証アプリやパスキーの利用を呼びかけています。

専門家

SMS認証より認証アプリやパスキーを使ってください。パスキーは偽サイトでは認証が成立しないので、リアルタイムフィッシングを根本から防げます。ログイン時はURL確認を必ず。被害は#9110へ。

困ったときの相談窓口

2要素認証回避による不正アクセス被害が疑われる場合は、以下の窓口に相談できます。

【まとめ】3つのポイント

この用語と一緒に知っておきたい用語

この手口が実際に使われた事件