対策に多要素認証　詐欺メール“日本を標的”8割以上…証券口座“乗っ取り”急増【報道

ステーション】(2025年4月22日)

芸能人関係者を偽装してる事案と証券口座乗っ取り事案・・・またか・・・って気分です、毎回この手のニュースが出てくるって事はやはり脆弱であり、安心しきってるユーザーの心理を突いてくるんですよね。

僕みたいに独学で学んでる人でも思う位だから、職業としてやってる人間はため息でしょうねぇ！(´Д｀)ﾊｧ…特にニュースの動画で言ってる事が基本中の基本です。動画の中で言ってる『多要素認証』とは

本人確認の為に、知識情報や所持情報や生体情報を３つのうち２つ以上を組み合わせて行う認証の事です。

これらを複数重ねる事で安全性を上げる方法です。

でもこれでも絶対ではありません。

多要素認証では、複数の要素を組み合わせることで、不正アクセスやなりすましを防止し、セキュリティを強化できます。例えば、銀行のATMではキャッシュカード（所持情報）と暗証番号（知識情報）を、スマートフォンのロック解除ではスマートフォン自体（所持情報）と指紋認証（生体情報）を組み合わせるのが多要素認証です。

だが万全ではない。上記のような多要素認証を破る手口が数年前から確認されており、現在も使われている。「プロンプト爆撃（prompt bombing）」などと呼ばれる。　最近では、「Lapsus$（ラプサス）」と名乗るサイバー犯罪者集団がこの手口を使っていることをSNSなどで広言している。ラプサスは2022年2～3月にかけて大手IT企業に次々と侵入したことで知られる。またセキュリティー企業の米Mandiant（マンディアント）によると、2020年12月に米SolarWinds（ソーラーウインズ）のネットワーク管理ソフトを悪用して不正アクセスを繰り返していたサイバー犯罪者集団も、この手口を使っていたとされる。　一体、どんな手口なのだろうか。

ターゲットは「プッシュ通知」

　プロンプト爆撃が対象とする多要素認証（二要素認証）は、IDおよびパスワードとプッシュ通知に対応した認証アプリの組み合わせだ。プッシュ通知とは、認証アプリの多くが備える機能の1つ。プッシュ通知に対応した認証アプリでは、認証アプリが表示する「承認」ボタンや「許可」ボタンなどをユーザーがタップするだけでログイン可能になる。

ログインまでの流れは次の通り。ユーザーはまず、ログインしたいサーバーなどにアクセスしてIDとパスワードを入力する。これらが正しい場合、そのユーザーが所有するスマホの認証アプリに承認を求める通知が送られる。この通知がプッシュ通知である。　そして認証アプリが表示する承認ボタンなどをユーザーがタップすると、正規のユーザーと認められてログインできる。