多要素認証／多要素認証疲労攻撃とは？たようそにんしょう・たようそにんしょうひろうこうげき
多要素認証／多要素認証疲労攻撃とは、認証を、知識・所持・生体という性質の異なる要素のうち二つ以上で行うのが多要素認証。その運用の隙を突き、承認を求めるプッシュ通知を執拗に送り続けて利用者の根負けを誘う手口が多要素認証疲労攻撃で、要素を足しただけでは防げない。要素の種類が異なることが条件で、同じ種類を二つ重ねても多要素にはならない。
最終更新：2026-10-06
この語が出る過去問を解く →背景
パスワードは使い回しとフィッシングで容易に流出するため、盗まれても単独では通らない仕組みとして要素の追加が広まった。ところが承認方式を「はい／いいえ」のワンタップにすると、今度は利用者の判断そのものが攻撃面になる。PMには、認証基盤の刷新を「導入すれば安全」で締めず、承認の作法まで要件に落とす目線が要る。
具体例
Microsoft Entra ID は、通知を承認するだけの方式をやめ、画面に出た2桁の数字を端末側で入力させる番号照合を既定にした。承認に一手間を挟むことで、身に覚えのない通知を反射的に許可する余地を消している。
試験での引っ掛け
要素の種類が別であることが条件で、パスワードと秘密の質問はどちらも知識情報なので二要素にならない。疲労攻撃はパスワードを当てにいく総当たりではなく、既に盗んだパスワードが前提の攻撃であり、対策も通知の回数制限と番号照合であって多要素認証の撤回ではない。
関連用語
出た過去問
出典：令和7年度 秋期 プロジェクトマネージャ試験 午前Ⅱ 問23（IPA）
多要素認証疲労攻撃の例はどれか。
正解：パスワード認証とスマートフォンへのプッシュ通知による認証を採用しているシステムにおいて、利用者がプッシュ通知の承認操作を行うまで、攻撃者が不正なログイン操作を繰り返す。
要点：MFA疲労攻撃は承認通知の連打で誤承認を誘う
多要素認証疲労攻撃（MFA疲労攻撃）は、攻撃者がパスワードを既に入手している状態で不正ログインを何度も試み、利用者のスマートフォンへプッシュ通知を大量に送りつける手口である。通知に煩わされた利用者が、誤ってあるいは根負けして承認操作をしてしまうことを狙う。利用者の疲弊そのものを攻撃手段にしている点が特徴となる。
出典・参考
高度試験 午前I（高度午前I 相当）のシラバスの3 技術要素 ＞ 1. 情報セキュリティ ＞ (8) 情報セキュリティに関する技術に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。