見えない敵「アドバーサリー・イン・ザ・ミドル（AiTM）」攻撃の全貌と鉄壁の防御策

1. アドバーサリー・イン・ザ・ミドル（AiTM）攻撃とは？～基本の「き」

アドバーサリー・イン・ザ・ミドル（AiTM）攻撃は、直訳すると「敵対的な中間者による攻撃」となります。これは、従来から知られている「中間者攻撃（Man-in-the-Middle、MitM）」がより高度に進化したものと考えてください。

基本的な仕組み:

攻撃者は、あなた（ユーザー）と、あなたが利用しようとしているウェブサービス（例：オンラインバンキング、SNS、社内システムなど）との間の通信に、文字通り「中間」に割り込みます。そして、あなたに対しては正規サービスになりすまし、正規サービスに対してはあなたになりすますことで、双方の通信を盗聴したり、内容を改ざんしたり、重要な情報を盗み取ったりします。

2. なぜ多要素認証（MFA）も突破されるのか？～AiTM攻撃の核心

「でも、私はちゃんとID・パスワードだけでなく、スマートフォンに送られてくるワンタイムパスワード（OTP）などの多要素認証（MFA）を設定しているから大丈夫なのでは？」

そう思われる方も多いでしょう。確かにMFAはセキュリティを大幅に向上させる重要な手段です。しかし、AiTM攻撃の厄介な点は、このMFAによる認証プロセスそのものを悪用して突破する能力を持つことにあります。

鍵は「セッションCookie」の窃取:

ウェブサービスにログインする際、IDとパスワード、そしてMFAコード（ワンタイムパスワードなど）を入力して認証が成功すると、多くの場合、ブラウザには「セッションCookie」という小さなデータが保存されます。これは、あなたが「認証済みのユーザーですよ」という一時的な証明書のようなものです。このセッションCookieがあるおかげで、サービス内でページを移動するたびにIDやパスワードを再入力する必要がなくなるのです。

AiTM攻撃、特に後述する「AiTMフィッシング」では、攻撃者はこのセッションCookieを巧みに盗み取ることを狙います。

MFAバイパスのシナリオ:

1. 攻撃者は、正規サイトそっくりの偽ログインページを用意します。
2. ユーザーが偽ページとは知らずにIDとパスワードを入力すると、攻撃者はそれを正規サイトに中継します。
3. 正規サイトがMFAを要求すると、攻撃者はそれもユーザーに中継し、ユーザーに入力させます。
4. ユーザーがMFAコード（例：ワンタイムパスワード）を入力すると、攻撃者はそれも正規サイトに中継します。
5. 正規サイトはMFAコードが正しいことを確認し、認証成功の証としてセッションCookieを発行します。
6. ここが重要です。 このセッションCookieは、ユーザーのブラウザに届く前に、中間者である攻撃者のサーバーを経由します。攻撃者はこのセッションCookieを横取り（窃取）します。
7. 攻撃者は、盗んだセッションCookieを使って正規サイトにアクセスします。正規サイトは有効なセッションCookieを持っているため、攻撃者を正規ユーザーと誤認し、アクセスを許可してしまいます。

つまり、攻撃者はMFAの認証情報を直接破るのではなく、MFAによる認証が完了した「結果」であるセッションCookieを盗むことで、MFAを実質的に無力化するのです。ユーザー自身は正規のMFAプロセスを実行しているつもりなので、攻撃に気づきにくいのが特徴です。

3. 要注意！具体的なAiTM攻撃の手口

AiTM攻撃にはいくつかの代表的な手口があります。ここでは主要なものを紹介します。

3.1. AiTMフィッシング（リバースプロキシ型）

現在、最も主流で警戒すべきAiTM攻撃の手法です。

手口の概要:

前述のMFAバイパスシナリオで説明した通り、攻撃者は正規サービスと瓜二つの偽ログインサイトを構築します。この偽サイトは、「リバースプロキシ」と呼ばれる仕組みを利用して作られることが多く、ユーザーが入力した情報をリアルタイムで正規サイトに中継しつつ、その過程で認証情報やセッションCookieを盗み取ります。evilginx2やModlishkaといった攻撃ツールキットを使えば、専門知識がそれほど高くない攻撃者でも、巧妙なAiTMフィッシングサイトを比較的簡単に作成できてしまうという現実があります。

誘導方法:

フィッシングメール（「パスワードが変更されました」「アカウントがロックされました」などの緊急性を煽る内容）、SMS（スミッシング）、SNSのダイレクトメッセージ、検索エンジンの結果に紛れ込ませた悪質な広告（SEOポイズニングやマルバタイジング）など、様々な方法でユーザーを偽サイトへ誘導します。

3.2. Wi-Fi 中間者攻撃 (Evil Twin)

公共のWi-Fiスポットなどで特に注意が必要な攻撃です。

手口の概要:

攻撃者は、カフェや空港、ホテルなどで提供されている正規のWi-Fiアクセスポイント（AP）と同じ名前（SSID）や、非常によく似た名前を持つ偽のWi-Fiアクセスポイント（これを「Evil Twin：邪悪な双子」と呼びます）を設置します。ユーザーが誤ってこのEvil Twinに接続してしまうと、その後の通信はすべて攻撃者を経由することになります。

攻撃の流れ:

1. ユーザーがEvil Twinに接続。
2. 攻撃者は、偽のログインページ（キャプティブポータル）を表示させ、Wi-Fi利用のための認証情報や、さらにはSNSアカウント、クレジットカード情報などを入力させようとします。
3. あるいは、ユーザーがインターネット上の様々なサイトにアクセスする際に、その通信内容を盗聴したり、DNS情報を書き換えて別のフィッシングサイトに誘導したりします。
4. 場合によっては、ユーザーのデバイスにマルウェアを送り込むこともあります。

注意点:

無料Wi-Fiの中には、暗号化されていないものや、セキュリティが脆弱なものが多く存在します。Evil Twinは、正規のAPよりも電波を強く発信することで、デバイスが優先的に接続するように仕向けることもあります。

3.3. DNSスプーフィング / キャッシュポイズニング

インターネットの住所録であるDNS（Domain Name System）を悪用する攻撃です。

手口の概要:

DNSは、私たちがウェブサイトにアクセスする際に、www.example.comのようなドメイン名（ウェブサイトの名前）を、コンピュータが理解できるIPアドレス（例: 192.0.2.1のような数字の羅列）に変換する仕組みです。DNSスプーフィング（なりすまし）やDNSキャッシュポイズニング（キャッシュ汚染）では、攻撃者はこのDNSの仕組みに介入し、偽の情報を送り込みます。その結果、ユーザーが正規のドメイン名にアクセスしようとしても、攻撃者が用意した悪意のあるサーバー（偽サイト）のIPアドレスに誘導されてしまいます。

影響:

誘導先の偽サイトで、AiTMフィッシングと同様に認証情報を盗まれたり、マルウェアに感染させられたりする可能性があります。ユーザーは正しいドメイン名を入力しているつもりなので、攻撃に気づきにくいのが特徴です。

3.4. ARPスプーフィング

主に社内ネットワークなど、同じローカルエリアネットワーク（LAN）内で発生する攻撃です。

手口の概要:

ARP（Address Resolution Protocol）は、LAN内でIPアドレスから端末固有のMACアドレス（物理アドレス）を調べるためのプロトコルです。ARPスプーフィングでは、攻撃者は偽のARP情報をネットワーク上に流し、他のデバイスやルーター（ゲートウェイ）に対して「自分こそが正規の通信相手だ」と信じ込ませます。これにより、ターゲットとなったデバイスの通信は、攻撃者のコンピュータを経由するようになり、通信内容の盗聴や改ざんが可能になります。

影響:

社内ネットワークでの機密情報の窃取、他の攻撃への踏み台などに利用される可能性があります。

3.5. SSL/TLSストリッピング

ウェブサイトの通信を暗号化するHTTPSを、意図的に暗号化されていないHTTPに引きずり下ろす攻撃です。

手口の概要:

通常、安全なウェブサイトはHTTPS（Hypertext Transfer Protocol Secure）というプロトコルで通信が暗号化されており、ブラウザのアドレスバーには鍵マークが表示されます。SSL/TLSストリッピング攻撃では、中間者となった攻撃者が、ユーザーとウェブサーバーの間に入り、ユーザー側にはHTTPで通信させ、自身はサーバーとHTTPSで通信します。これにより、ユーザーと攻撃者の間の通信は暗号化されず、平文（そのまま読める状態）となり、ID、パスワード、クレジットカード情報などが盗聴可能になります。

注意点:

ユーザーが気づかないうちにHTTP接続にされていることがあります。アドレスバーのURLがhttp://になっていないか、鍵マークが外れていないかなどを確認する必要がありますが、巧妙な手口では気づきにくいこともあります。

3.6. マルウェアを利用したAiTM攻撃

ユーザーのデバイスにマルウェア（悪意のあるソフトウェア）を感染させ、内部から通信を操る手口です。

手口の概要:

フィッシングメールの添付ファイルや、改ざんされたウェブサイトからのダウンロードなどを通じてマルウェアに感染すると、以下のような活動によりAiTM攻撃が実行されることがあります。

• プロキシ設定の変更: OSやブラウザのプロキシ（代理サーバー）設定を勝手に変更し、すべてのインターネット通信を攻撃者の用意したサーバー経由にさせます。
• ホストファイルの改ざん: OSがドメイン名からIPアドレスを調べる際に参照するホストファイルを書き換え、正規サイトへのアクセスを偽サイトにリダイレクトします。
• 悪意のあるブラウザ拡張機能: ブラウザにインストールされた悪質な拡張機能が、閲覧しているウェブページの内容を改ざんしたり、入力フォームの情報を盗み取ったり、セッションCookieを外部に送信したりします。
• キー入力の記録 (キーロガー): ユーザーがキーボードで入力した内容（ID、パスワード、メッセージなど）を記録し、攻撃者に送信します。

4. 被害事例とその深刻な影響

AiTM攻撃による被害は、個人にも企業にも深刻な影響を及ぼします。

個人への影響:

• 金銭的被害: オンラインバンキングやクレジットカード情報が盗まれ、不正送金や不正利用の被害に遭う。
• アカウント乗っ取り: SNSアカウントやメールアカウントが乗っ取られ、個人情報が流出したり、なりすましによる誹謗中傷や詐欺行為の踏み台にされたりする。
• プライバシー侵害: 個人的なメッセージやファイルが盗み見られる。
• 二次被害: 盗まれた個人情報がダークウェブなどで売買され、さらなる犯罪に利用される。

企業・組織への影響:

• 経済的損失: 不正送金、業務停止による機会損失、復旧費用、顧客への補償など。
• 機密情報の漏洩: 顧客情報、従業員情報、技術情報、経営戦略などの重要なデータが外部に流出する。
• 信用の失墜: 情報漏洩やセキュリティインシデントの発生は、顧客や取引先からの信用を大きく損ない、ブランドイメージの低下につながる。
• 法的責任: 個人情報保護法などの法令違反による罰金や訴訟リスク。
• 事業継続の危機: 大規模なインシデントの場合、事業の継続が困難になることもあります。

実際に、国内外でAiTM攻撃によるものと見られる情報漏洩事件や金銭被害が多数報告されています。特にクラウドサービス（Microsoft 365、Google Workspaceなど）の認証情報を狙った攻撃が増加しており、企業のセキュリティ担当者は常に警戒を怠れません。

5. AiTM攻撃から身を守る！今日からできる対策

AiTM攻撃は巧妙ですが、適切な知識を持ち、対策を講じることで、そのリスクを大幅に減らすことができます。ここでは、個人ができる対策と、企業・組織が取り組むべき対策を具体的に紹介します。

6. AiTM攻撃の検知：不審なサインを見逃さない

AiTM攻撃は巧妙であるため、完全に防ぐことが難しい場合もあります。そのため、攻撃の兆候を早期に検知することも重要です。

個人ユーザーが気づける可能性のあるサイン

• ログイン通知の異常: 身に覚えのない場所や時間、デバイスからのログイン試行や成功の通知。
• MFA認証要求の異常: 自分が操作していないにもかかわらず、MFAの認証要求が繰り返し届く。
• ウェブサイトの挙動不審:
  • URLがいつもと微妙に違う、またはHTTPになっている（鍵マークがない）。
  • ページの表示が崩れている、日本語がおかしい（ただし、これらは巧妙化しているため判断材料としては弱い）。
  • 普段求められないような個人情報（クレジットカードの暗証番号など）の入力を求められる。
• アカウントの不正利用: 身に覚えのない投稿、メッセージ送信、購入履歴、メール転送設定の変更など。
• デバイスの動作不良: 急に動作が遅くなる、不審なポップアップが表示される、勝手にソフトウェアがインストールされる（マルウェア感染の可能性）。

企業・組織における検知のポイント

• 認証ログの監視:
  • 通常とは異なる地域やIPアドレスからのログイン試行、特にMFA成功後の不審なアクティビティ。
  • 短時間での大量のログイン失敗、またはMFA試行の失敗。
  • 通常使用しないユーザーエージェント文字列からのアクセス。
• ネットワークトラフィックの監視:
  • 既知の悪性IPアドレスやドメインとの通信。
  • 通常とは異なるポートやプロトコルでの通信。
  • 不審なDNSクエリや応答。
• エンドポイントの監視 (EDRなど):
  • 不審なプロセスの実行、レジストリやシステムファイルの不正な変更。
  • プロキシ設定やホストファイルの書き換え。
  • 悪意のあるスクリプト（PowerShellなど）の実行。
• ウェブサーバー/アプリケーションログの監視:
  • 通常とは異なるリファラーからのアクセス。
  • セッションハイジャックの兆候（同一セッションIDに対する異なるIPアドレスからのアクセスなど）。
• 侵害の痕跡 (IoC) の活用: セキュリティベンダーや情報共有機関から提供される、既知のAiTM攻撃に関連する情報を活用します。

7. 進化するAiTM攻撃と今後の展望

サイバー攻撃の手口は、防御技術の進化に合わせて、常に変化し続けます。AiTM攻撃も例外ではありません。

• AIの悪用: AI技術を用いて、より自然でターゲットに合わせた巧妙なフィッシングメールや偽サイトが自動生成される可能性があります。ディープフェイク技術と組み合わせることで、音声や映像を利用したなりすまし攻撃も高度化するでしょう。
• 攻撃の自動化・サービス化 (MaaS: Malware-as-a-Service / Phishing-as-a-Service): 高度な攻撃ツールキットがダークウェブなどで取引され、専門知識の低い攻撃者でも容易にAiTM攻撃を実行できるようになる傾向が強まっています。
• IoTデバイスの悪用: セキュリティ対策が不十分なIoTデバイスを踏み台にしたり、IoTデバイス自体を標的にしたりするAiTM攻撃が増加する可能性があります。
• 新たなMFAバイパス技術の出現: 現在有効とされているフィッシング耐性MFAに対しても、将来的には新たなバイパス技術が開発される可能性も否定できません。

これらの動向を踏まえ、私たちは常に最新の脅威情報を収集し、セキュリティ対策を見直し、適応していく必要があります。