【セキュリティ】電話番号に届く認証番号を使った「2要素認証」はもはや安全ではない

電話番号に届く認証番号を使った「2要素認証」はもはや安全ではない

ネットサービスのアカウントを作ろうとして、「セキュリティのために電話番号も入力してください」とのメッセージに遭遇したことがある人は多いはず。
パスワードと電話番号に届いた認証コードの両方でログインする「2要素認証(2FA)」は強力なセキュリティとして重宝されていますが、ハッカーにとってはほとんど無意味だとセキュリティ企業が警鐘を鳴らしています。

Bypassing 2FA - Secret double octopus
https://doubleoctopus.com/blog/threats-and-alerts/bypassing-2fa/

（以下略、続きはソースでご確認ください）

Gigazine 2021年12月12日 20時00分
https://gigazine.net/news/20211212-bypassing-2fa/

>>1
「ブラウザを乗っ取られたら2要素認証は危険です、
だから弊社のソリューションを使いましょう！」

いやブラウザ乗っ取られた時点で完全に終わってんだろ
認証だけ安全でも意味ないってのw
アホじゃねーのか

はい　論破

・ハッカーはまず、ユーザーに「お客様のユーザーアカウントが不審なIPアドレスからのアクセスを受けました。確認のため、電話番号に送信された認証コードを返信してください」といったメッセージを送信する。
・ハッカーは次に、ユーザーの代わりにIDとパスワードを入力して侵入したいサービスにログインする。
・サービスは、正規ユーザーからログインされたと勘違いしてユーザーに2FA用の認証コードを送る。
・ユーザーがその認証コードをハッカーに返信してしまう。

シナリオ2：ハッカーがまだIDやパスワードを持っていない場合
・ハッカーは最初に、正規のサービスからのメールに見せかけた巧妙なメールをターゲットに送る。

ウワッチ・・・
つい1週間ほど前にやっちまったわ。
美術館の特別展が密を防ぐと言うので厳密な入場制限と予約優先やってて電話番号に届いたショートメールの暗証番号を打ちこんでしまったわ。

その時から15億4千万円当選しましただの寂しい熟女だの家出少女だのスパムメールが再び

とっくに変わっているじゃん。
認証コードの入力ではダメ。

携帯電話そのものを手に持っていて、はいを押さないとダメになった。
ハッカーは、電話そのものがないから、はいを押せないじゃんw