多要素認証を使っているクラウドのメールサービスで、社員が本物そっくりのログインの画面に誘導され、パスワードとワンタイムパスワードを入力した。攻撃者はその画面を本物のサービスとの中継に使い、ログインの後に発行されたセッションのCookieを盗んで、社員になりすました。この攻撃と対策の説明として、最も適切なものはどれか。

正解：C. 盗まれたCookieは多要素認証を済ませた状態を表すので、すぐにセッションを無効にし、パスキーのような認証、セッションの短縮、ふだんと違う利用の検知を組み合わせる

認証が成功すると、サービスはセッションのCookieなどのトークンを発行し、その後の要求はトークンだけで本人と扱います。そのため、中継型のフィッシング(AiTM)や、端末に感染した情報窃取型のマルウェアでトークンを盗まれると、多要素認証を済ませた状態のまま、攻撃者がなりすませます。被害に気づいたら、パスワードの変更だけでなく、発行済みのセッションを無効にする必要があります。予防には、接続先のドメインに結び付いたパスキーのようなフィッシングに強い認証、セッションの有効期間の短縮、場所や端末の変化に応じた再認証や利用の制限を組み合わせます。

• A. 多要素認証はログインのときに働くもので、その後に盗まれたトークンは、認証を済ませた状態のまま使われてしまいます。
• B. 中継型の攻撃では本物の利用者が正しいパスワードを入力するので、長さは関係ありません。
• C. 正しい。セッションを無効にしたうえで、フィッシングに強い認証とセッションの管理を組み合わせます。