攻撃者が社員のパスワードを入手し、ログインを何十回も繰り返して、社員のスマートフォンに承認を求める通知を大量に送りつけた。社員はわずらわしくなり、つい「承認」を押してしまった。この攻撃への対策として、最も適切なものはどれか。

正解：C. 画面に出た番号をアプリに入力させる方式や、大量の要求の制限を導入し、身に覚えのない通知を報告させる

このような攻撃は、MFA疲労攻撃(プッシュ爆撃)と呼ばれ、通知の「承認」を押すだけで認証が終わる方式の弱点を突きます。番号を照合する方式では、ログインの画面に出た番号を入力しないと承認できないので、自分でログインしていない利用者は承認できません。短時間に大量の要求が来たら止める、通知に場所やアプリの情報を表示する、身に覚えのない通知を報告させる、といった対策を組み合わせます。より根本的には、FIDO2のパスキーのような、偽のサイトや他人のログインには使えない、フィッシングに強い方式に移ります。

• A. 気づきにくくすると、不審な通知を見逃しやすくなります。
• B. すでに入手されたパスワードには効果がなく、承認を押してしまう問題も残ります。
• C. 正しい。承認の操作を本人のログインと結び付け、大量の要求を止めます。