Conversation

Notices

1. B̅ (cmplstofb@mathtod.online)'s status on Friday, 26-Aug-2022 11:30:25 JST B̅

   ちなみに多要素認証（二段階認証）をしていれば万全ってわけでもなく，この認証方式にも人間の脆弱性を突いた多要素認証疲労攻撃というのがある。
   これは多要素認証の認証確認画面（「不明なデバイスでログイン試行がありました」「承認しますか？Yes/No」みたいな画面）を何度も何度も表示させることで利用者を疲弊させ，「この画面を表示させたくない」と思わせて不正ログインを許させてしまうという攻撃方法。

   • B̅ (cmplstofb@mathtod.online)'s status on Friday, 26-Aug-2022 11:33:34 JST B̅

     in reply to

     この類いの攻撃は，認証機構側の適切な実装（たとえば承認画面を一定回数以上出さない，利用者側で承認画面の無効化ができる，とか）によって回避できる。
     ちなみにMicrosoftアカウントの多要素認証には前述した安全策が備わっておらず，実際に多要素認証疲労攻撃によって不正ログインの被害に遭った事例がある。

     https://www.gosecure.net/blog/2022/02/14/current-mfa-fatigue-attack-campaign-targeting-microsoft-office-365-users/