令和7年度 プロジェクトマネージャ試験 午前II 問23

正解：エ

AI解説

多要素認証疲労攻撃（MFA fatigue攻撃）は、攻撃者が盗んだパスワードで不正ログインを何度も試み、その都度利用者のスマートフォンに届く承認のプッシュ通知を大量に発生させ、利用者が煩わしさに根負け（疲労）して誤って承認してしまうのを狙う攻撃である。「プッシュ通知の連発」と「利用者の根負け」の2点が揃っているかが判断基準。 ア: 寝顔で顔認証を突破する行為は、生体認証に対する物理的ななりすましであり、MFA疲労攻撃ではない。 イ: 偽サイトへ誘導してパスワードや電話番号を詐取するのはフィッシング攻撃の説明である。 ウ: 偽メールを繰り返し送ってログインさせようとするのはフィッシング（メールによる誘導）であり、正規のプッシュ通知を悪用するMFA疲労攻撃とは異なる。 エ: 正解。攻撃者がログイン試行を繰り返して正規の承認プッシュ通知を連発させ、利用者が承認するまで続けるのがMFA疲労攻撃の典型例である。 💡 「fatigue＝疲労」は通知の連発にうんざりした利用者の心理を突く攻撃。対策としては回数制限、番号一致（number matching）方式の採用などが挙げられる。フィッシング系の選択肢と混同しないこと。