従来型MFAの限界｜パスキー認証で守るMicrosoft 365

「MFA（多要素認証）は全員分設定してあるし、うちのMicrosoft 365はひとまず安心」。
そう感じている方は少なくないと思います。ただ、SNSでも業務システムでも、届いた認証コードをほぼ反射的に入力していないでしょうか。その慣れた操作こそが狙われています。

偽のログイン画面に誘導されて本物のコードを入力してしまえば、MFAは通り抜けられてしまいます。

この記事のポイント：

突破の入口になるのは、システムの欠陥ではなく日常の操作です。中間者型フィッシング（AiTM攻撃）では、偽のログイン画面が本物との間に入り込み、入力されたコードをリアルタイムで本物へ中継します。

• 偽サイトに誘導されると、本物のコードをそのまま入力してしまい、攻撃者に渡る
• 認証成功後のセッションCookieを窃取されると、認証済みユーザーになりすまされる
• 身に覚えのない承認通知を連打され、つい承認してしまう「MFA疲労攻撃」もある

狙われているのはMFAではなく、コードを入力する人の操作です。

MFA疲労攻撃＝Authenticatorの承認通知を繰り返し送り、ユーザーの誤承認を狙う

パスキー認証とは、パスワードの代わりに、秘密鍵と生体認証・PINを組み合わせて本人確認を行う仕組みです。秘密鍵は端末またはパスキープロバイダー（OSやパスワード管理アプリ）で安全に管理されます。

従来型MFAとパスキー認証の違い

パスワード＋ワンタイムコード方式との比較

比較項目

従来型MFAパスワード＋OTP等

パスキー認証フィッシング耐性

認証の材料

ID・パスワード＋ワンタイムコード等

秘密鍵＋生体認証・PIN

入力して渡す情報

あり（コード入力・承認操作）

なし

偽サイトへの耐性

入力を中継され回避される場合がある

ドメインが一致せず認証が成立しない

鍵・パスワードの扱い

流出や使い回しの影響を受ける

秘密鍵は暗号化して安全に管理される

ログイン操作

コードの確認・入力の手間がある

顔・指紋・PINで数秒

違いの核は「入力して渡す情報」がない点。渡すものがなければ、偽サイトに渡すこともありません。

まず確認したいのは、SMS・音声通話による認証を使っているユーザーの有無です。Entra IDでは2026年9月1日以降、これらが有効なユーザーにパスキーが自動で有効化され、2027年2月1日にはMicrosoft提供のSMS・音声による認証コード配信が終了する予定とされています。影響を受けるのはこの方式の利用者です。

• SMS・音声通話認証を利用しているユーザーを洗い出す
• 認証方法ポリシーでパスキーを有効化する
• 登録キャンペーンを使い、段階的に登録を促す
• 端末を紛失した際の再登録フローを先に決めておく

新しい機能を社内に浸透させる過程で、操作に関する問い合わせ対応や独自の運用ルールの乱立にお悩みの管理者様は少なくありません。本資料では、Microsoft 365の導入や運用定着、セキュリティ基盤の構築における実践的な事例集をご用意しました。

・従業員規模別（300名以下・301名以上）の厳選した7つの成功事例をご紹介
・運用ルールの体系化や、社内SNS活用による組織活性化のヒントを収録

Microsoft 365 担当者様の負担軽減と、貴社のスムーズな運用定着を実現する一助としてぜひご活用ください。

▼【Microsoft 365 導入事例】をダウンロードする

MFAの導入は無駄ではありません。ただ攻撃側が先へ進んでいる以上、より強い方式へ切り替える判断が要ります。慌てるより、余裕のあるうちに小さく試すほうが負担は軽く済みます。 認証方式の見直しを進めたい方は、お問い合わせフォームよりお気軽にご相談ください。

私たちは、数あるクラウドツールの中でもMicrosoft 365に特化して支援を行ってきました。
だからこそ、導入前の検討・設計から、移行、運用、社内への定着まで、企業が「つまずきやすいポイント」を熟知しています。

【例えば、こんなご相談をよくいただきます】

13年以上・350社以上の導入実績をもとに、貴社の課題に寄り添った最適な運用をご提案します。
「まずは現状のモヤモヤを聞いてほしい」といった些細なご相談でも構いません。ぜひお気軽にお声がけください。