令和7年度 秋期 午前Ⅱ 問23

✓ これが正解エパスワード認証とスマートフォンへのプッシュ通知による認証を採用しているシステムにおいて，利用者がプッシュ通知の承認操作を行うまで，攻撃者が不正なログイン操作を繰り返す。

解説

プッシュ通知の承認まで不正ログインを繰り返すのが、この攻撃です。

多要素認証疲労攻撃は、攻撃者が利用者のパスワードをすでに手に入れていることを前提に、不正なログインを何度も試み、利用者のスマートフォンへ承認を求めるプッシュ通知を大量に送り付ける攻撃です。通知が繰り返されると、利用者はわずらわしさや勘違いから、つい承認してしまいます。その一度の承認で、攻撃者はログインに成功します。見分ける軸は、正規の認証の仕組みが送る承認要求を繰り返して、利用者が根負けするのを待つ点です。寝ている隙の顔認証、偽サイトでの情報の詐取、偽の電子メールの繰り返しは、いずれもこの形ではありません。疲労とは利用者を通知で疲れさせることだ、と押さえると見分けられます。

ほかの選択肢はなぜ違うのか

• ア顔認証で画面ロックを解除できるスマートフ…：所有者が寝ている隙に寝顔で顔認証を突破しようとするのは、端末を物理的に手に入れたうえでの不正な解除の試みです。疲労という語が出てきますが、承認要求を繰り返して利用者に根負けさせる攻撃ではありません。
• イ攻撃者の用意した偽サイトに利用者を誘導し…：偽サイトに誘導して、パスワードや電話番号など認証に関わる情報をだまし取るのは、フィッシングの手口です。複数の要素を盗む点は似ていますが、正規の承認要求を繰り返し送る攻撃ではありません。
• ウ多要素認証を利用可能なシステムの利用者に…：偽の電子メールでログインを促し、利用者の誤った操作を待つのは、メールを使ったフィッシングの一種です。送られるのは正規のシステムからの承認要求ではなく偽のメールなので、通知で疲れさせる攻撃とは異なります。