令和7年度秋期 プロジェクトマネージャ 午前Ⅱ 問23

与えられた条件と判断の根拠

認証に関する事象を考えるときは、与えられた条件と、自分が補っている前提を分けて整理しましょう。知っている用語から結論を急がず、判断の根拠が示された情報の中にあるかを確かめることが大切です。

この問題で問われていること

この問題では、判断に使う前提が、与えられた情報に支えられているかという一点に注目しましょう。読み取れた事実と推測を区別し、なじみのある事例への連想だけで、書かれていない条件を付け足していないかを確認します。

視点

判断の前提には、明示された情報と、読み手が補った推測が混ざることがあります。根拠を整理するときは、それぞれを区別し、推測を事実として扱っていないかを点検しましょう。

確認ポイント

• 判断に使う前提は、どの情報に基づいていますか。
• 書かれている事実に、自分の推測を混ぜていませんか。
• 用語からの連想で、示されていない条件を補っていませんか。

正解

エ

解説

正解はエです。多要素認証疲労攻撃は、認証要求を繰り返して利用者に負担をかけ、不正な要求の承認を誘う攻撃です。エでは、不正なログイン操作を繰り返し、利用者がプッシュ通知を承認するまで続ける点が該当します。

理由

エのシステムは、パスワード認証とスマートフォンへのプッシュ通知による認証を採用しています。攻撃者は不正なログイン操作を繰り返し、利用者が通知の承認操作を行うまで続けます。通知への対応で利用者を疲れさせ、煩わしさや不注意から承認してしまうことを狙うため、多要素認証疲労攻撃に該当します。

比較

アは寝顔を利用して顔認証の突破を試みる攻撃であり、所有者の身体的な疲労を利用しています。イは偽サイトに誘導して認証に関係する情報を取得するフィッシングです。ウは偽の電子メールを繰り返してログインを促します。エのように、認証システムからの承認要求への対応を繰り返させる仕組みとは異なります。

選択肢ア

これは不正解だよ。所有者が疲労して寝ている隙に、寝顔を使って顔認証による画面ロックの解除を試みる攻撃です。ここでの疲労は所有者の身体的な状態を指します。認証要求を繰り返して承認操作を誘う多要素認証疲労攻撃とは、攻撃の仕組みが異なります。

選択肢イ

これは不正解だよ。攻撃者が用意した偽サイトへ利用者を誘導し、パスワードや電話番号などを不正に取得する行為は、フィッシングに当たります。認証に関係する情報を複数取得することと、認証要求の繰返しによって利用者に不正な承認をさせることは異なります。

選択肢ウ

これは不正解だよ。偽の電子メールを繰り返し送り、利用者がうっかりログインするのを待つ攻撃です。繰り返しているのはログインを促す偽のメールであり、認証システムが発する承認要求ではありません。多要素認証疲労攻撃では、認証要求への対応に疲れた利用者の承認操作を狙います。

選択肢エ（正解）

これは正解だよ。パスワード認証に加えて、スマートフォンへのプッシュ通知で承認を求める仕組みを利用した攻撃です。攻撃者が不正なログイン操作を繰り返すことで通知への対応に負担をかけ、利用者が承認するまで続けます。このように利用者の疲れや不注意による承認を狙うのが、多要素認証疲労攻撃です。

学習のポイント

繰り返される対象が認証の承認要求なのか、偽のメールなのかを区別し、攻撃が誘う操作を理解しましょう。