IDとパスワードだけの認証方式では、不正アクセスが防ぎきれないため、多要素認証（MFA：Multi-Factor Authentication）の導入が進んでいる。従来のフィッシング攻撃なら、追加の認証要素を含むMFAを有効にすることで、攻撃者がIDやパスワードを窃取しても不正アクセスを防ぐことができた。

従来のフィッシング攻撃は以下のような流れだ。

1. 利用者が偽サイトにアクセスし、偽のログイン画面が表示される
2. ID、パスワードなどを入力し、窃取される
3. 攻撃者が正規サイトにログインする

ここに、MFAを有効にしておけば、ID、パスワードを窃取されても正規サイトにはログインできない。

しかし、2022年頃から、MFAをも突破するAiTM（Adversary in the middle）攻撃が現れている。AiTM攻撃は、攻撃者が利用者と正規サイトの間に割り込み、ログインの流れをリアルタイムで盗む攻撃だ。

AiTM攻撃の典型的な流れは以下のようになる。

1. 攻撃者が、正規サイトに似せたフィッシングサイトを用意する。
2. 利用者が、偽サイトにアクセスし、ログイン情報を入力する。
3. 偽サイトが、その内容を正規サイトに流す。
4. 正規サイトが、MFAの確認を行う。
5. 利用者が、SMSやメールで受け取った確認コードを偽サイトに入力する。
6. 偽サイトが、そのコードを正規サイトに流してログインさせる。
7. 正規サイトは、ログイン済みのセッションを行い、クッキーやトークンを表示する。
8. 偽サイトが、そのクッキーやトークンを窃取する。
9. 攻撃者は、盗んだクッキーやトークンで、ログイン済みの状態を再現する。

画面の構成や動作、偽URLなどが巧妙に作られており、利用者が偽サイトであることに気づくことは困難だ。

AiTM攻撃では、攻撃者が用意したサーバーを使ってリアルタイムで通信を中継する。上記7つ目にあるように、クッキーやトークンを表示するのは正規サイトなので、ユーザーIDを保存・検証するIDプロバイダー（IdP）でも、リクエストが正規のものか偽サイトからのものなのかを識別することは技術的に困難だ。

また、AiTM攻撃のツールはインターネット上にも複数公開されているため、中継するサーバーや偽サイトさえ作れれば、簡単に攻撃ができてしまう。

SMSやメールで確認コードを受け取る方法では、AiTM攻撃は避けられない。そこで推進されるのがパスワードレスの認証だ。FIDO2準拠であることなど、フィッシングに強い方式が求められる。

FIDO2（Fast IDentity Online 2）とは

パスワードレス認証を実現するための技術標準仕様。FIDOアライアンスとW3C（World Wide Web Consortium）によって開発された。

FIDO2は「公開鍵暗号方式」を利用している。

認証プロセスは以下のようになる。

1. 利用者がFIDO2対応の認証デバイスでパスキーの申請をすると、秘密鍵と公開鍵が生成される。公開鍵はWebサイトのサーバーに送信され、秘密鍵はデバイスに保管される。 2. 利用者がWebサイトにログインする。通常はユーザー名やメールアドレスなどの識別情報の入力が求められる。 3. デバイスで生体認証やPINなどの入力を行う。これにより、デバイスの正当な利用者であることが確認される。 4. Webサイトは「チャレンジ」と呼ばれるランダムなデータを送信し、認証する。 5. 利用者のデバイスは、チャレンジと秘密鍵でデジタル署名を生成する。 6. Webサイトはデジタル署名を受信し、登録済みの公開鍵で署名の検証を行う。有効な署名であることが確認できたら、ログインが許可される。

FIDO2準拠のパスワードレスにすると、フィッシングやパスワード漏洩のリスクを大きく軽減させることができる。また、パスワードを忘れないように分かりやすいものに設定したり、メモに書き記したものが物理的に盗まれたりといったことも防げる。

デメリットとしては、対応するデバイスが必要なことと、そのデバイスを紛失した場合にWebサイトへのアクセスが困難になることだ。

そのほか、URLフィルタリングやDNS保護で不正サイトに届きにくくする、あるいはセッションの有効時間を短くするといった工夫をしてみるといいだろう。