プロジェクトマネージャ試験 令和7年度 秋期 午前II 問23

【正解】エ

多要素認証疲労攻撃は、攻撃者が認証要求を何度も発生させ、利用者を困惑させたり、面倒に感じさせたりして、誤って承認させる攻撃です。パスワードを入手した攻撃者がログインを繰り返すと、利用者のスマートフォンへ多数のプッシュ通知が届きます。利用者が通知を止めようとして一度でも承認すれば、攻撃者が認証を突破できます。したがって、この状況を示すエが正解です。

アの寝顔を利用する行為は誤りです。これは顔認証を不正に通過しようとする生体認証への攻撃であり、多数の認証要求によって利用者の判断力や忍耐力を消耗させる攻撃ではありません。

イの偽サイトでパスワードなどを取得する行為は誤りです。これは利用者を偽サイトへ誘導して認証情報を盗むフィッシングの説明です。

ウの偽メールを繰り返し送る行為は誤りです。これも偽の案内から利用者を誘導するフィッシング又はソーシャルエンジニアリングであり、正規のプッシュ認証要求を連続して承認させる攻撃ではありません。

【ポイント】 多要素認証は、知識、所持、生体という異なる種類の要素を二つ以上組み合わせます。 身に覚えのない認証要求は承認せず、拒否した上で管理者へ報告することが重要です。 通知への番号照合、試行回数の制限、異常なログインの検知などが疲労攻撃への対策になります。