MFAリセットを新たな攻撃経路にしないためのサービスデスク運用ガイド
端末の紛失や機種変更に伴うMFA初期化依頼を安全に確認し、承認・セッション遮断・監査記録までつなげる実務チェックリストです。
MFAを有効にすると、パスワードの窃取だけではログインしにくくなります。しかし、正面の防御が強くなるほど、攻撃者は「スマートフォンを紛失した」とサービスデスクに申告し、MFAリセットという迂回路を狙います。メールアドレスや社員番号の確認だけで初期化できるなら、強力な認証も担当者の一操作で無効化されかねません。
近年のアイデンティティセキュリティで、サービスデスクへのなりすまし、フィッシング耐性のある認証、復旧時の本人確認が同時に重視されるのはこのためです。MFAとTOTPの基本はMFA・TOTP入門ガイドで確認できます。
MFAリセットは問い合わせ対応ではなく権限変更
初期化は、既存の認証手段を破棄し、新しい手段を登録する機会を開く操作です。パスワード再発行より影響が小さいと考えてはいけません。特に管理者や決済・顧客情報へアクセスできるアカウントでは、リセット直後に攻撃者が正規ユーザーとして新しいMFAを登録する恐れがあります。
したがって、サービスデスクの目標は依頼を早く完了させることではなく、依頼者、承認、変更結果を後から説明できる状態にすることです。
リセット前に確認する四つのポイント
1. ログイン済みの経路だけで本人と判断しない
現在のSSOセッションや会社メールへの返信だけで承認しないでください。すでにアカウントが侵害されていれば、どちらも攻撃者が操作できる可能性があります。事前登録済みの別の連絡先、管理者による確認、リカバリーコードなど、独立した複数の情報を組み合わせます。
2. 高リスクアカウントには二者承認を適用する
一般ユーザーとテナント管理者に同じ手順を適用してはいけません。管理者やセキュリティ担当者など影響範囲が大きいアカウントでは、本人確認者と実行者を分け、緊急例外には理由と有効期限を記録します。SSO障害時の別経路は緊急用アカウント運用ガイドを参照してください。
3. リセットと同時に既存のアクセスを遮断する
既存のMFAだけを削除し、有効なセッションを残すと、攻撃者が活動を続ける可能性があります。不審な状況では、関連セッションの終了、パスワード変更の要否、新しいMFA登録前の重要操作制限を一つの手順にまとめます。完了通知は、依頼に使われた経路とは別の事前登録済み連絡先へ送ります。
4. 監査記録を一つのタイムラインにまとめる
少なくとも依頼時刻、対象アカウントとテナント、本人確認方法、承認者・実行者、初期化・再登録時刻、セッション遮断結果を記録します。秘密情報やリカバリーコードをログに残してはいけません。セキュリティ審査に必要な記録はSaaSセキュリティ審査とIdPガイドでも確認できます。
四半期ごとに復旧訓練を実施する
手順書があっても、夜間担当者が見つけられなければ機能しません。四半期ごとにテストアカウントを使い、紛失申告から再登録、通知、ログのエクスポートまで訓練しましょう。処理時間より、確認手順の抜けを優先して点検します。実際の侵害が疑われる場合は利便性より遮断を優先し、セキュリティ担当者へ直ちにエスカレーションします。
AxiPassで認証ポリシーと記録をつなぐ
AxiPassはSaaS企業向けのマルチテナントIdPとして、OIDC・SAML SSO、SCIM、MFA、SWA、監査ログを統合します。顧客企業ごとにテナントを分離し、認証・アカウント・権限変更の基準を一元化することで、MFAリセットの運用手順も一貫して設計・確認できます。