深夜3時15分、枕元に置いたスマートフォンがけたたましく振動し始めます。画面には次々とシステム通知が押し寄せます。「サインイン要求：Microsoft アカウント」「PlayStation Network へのサインインを試みましたか？」「Ubisoft 2段階認証のリクエスト」。わずか10分ほどの間に、数十件もの承認要求がスマートフォンの画面を埋め尽くします。眠気と苛立ちの中、認証サーバーのエラーかアプリのバグだと思い込み、執拗なバイブレーションを止めるためだけに、思わず画面の「承認」をタップしてしまうプレイヤーが後を絶ちません。
しかし、その「承認」ボタンを押してからわずか90秒後、アカウントの登録メールアドレスは勝手に変更され、パスワードは書き換えられ、認証アプリの連携は解除されます。数百本もの購入済みゲーム、DLC、そして長年積み重ねてきたセーブデータを含むゲームライブラリ全体が、一瞬にして完全に強奪されてしまいます。
二段階認証（2FA / MFA）の普及に伴って猛威を振るっているこのサイバー攻撃手法は、MFA疲労攻撃（MFA Fatigue）、あるいは**プッシュ爆撃（Push Bombing）やプロンプト消耗攻撃（Prompt Exhaustion）**と呼ばれます。二要素認証を導入するゲーマーが増加したことで、サイバー犯罪者は暗号化トークンの突破を諦め、人間の心理的脆弱性を突いて二次認証の防壁を直接迂回する手口へとシフトしています。
MFA疲労攻撃の構造と攻撃シナリオ
MFA疲労攻撃は偶発的に発生するものではなく、標的型クレデンシャルスタッフィング（リスト型アカウントハッキング）の最終段階として実行されます：
- 認証情報の事前入手： 攻撃者は、過去に情報漏洩を起こした中堅ゲームフォーラム、ECサイト、Discordの流出データから、被害者のメールアドレスと平文パスワードの組み合わせを事前に入手しています。
- 二段階認証による足止め： 攻撃者が公式ログイン画面（Xbox、PlayStation Network、Ubisoftなど）で正しいIDとパスワードを入力します。二段階認証が設定されているため、サーバーはログインを一時保留し、被害者のスマートフォンに承認通知を送信します。
- 自動スクリプトによる連続爆撃： 攻撃者はそこで引き下がることはせず、自動化スクリプトを用いて数秒おきにログイン試行を連打します。これにより、被害者の端末には数十件から百件以上に及ぶプッシュ通知やSMSが嵐のように届き続けます。
- 心理的消耗と誤認の誘発： 攻撃はあえて深夜の就寝時間帯や、対戦プレイに没頭しているタイミングを狙って仕掛けられます。激しい通知攻勢で冷静な判断力を奪い、寝ぼけて「承認」を誤タップさせたり、通知を止めたい一心で承認させることが彼らの狙いです。
「承認」タップ後の60秒間に起きる乗っ取り手順
スマートフォン上で一度でも「承認」をタップすると、攻撃者のセッションに完全な管理者権限が付与されます。自動化されたハッキングボットは、わずか数十秒の間に以下の処理を一気呵成に完遂します：
- プライマリエイリアスの改ざん： Microsoftアカウントなどの場合、攻撃者は新規の outlook.com エイリアスを追加してそれをメインのログインアドレスに指定し、元のメールアドレスを即座に削除します。これにより、被害者がメール経由でパスワードを再設定する手段が完全に断たれます。
- 既存の認証アプリの強制解除： 攻撃者自身のハードウェアセキュリティキーや認証アプリを登録し、被害者のスマートフォンを無効化すると同時に、新たなワンタイムバックアップコードを再生成します。
- ウォレット残高や登録カードの不正利用： アカウントに紐付けられているクレジットカードやPayPal、ストアウォレットの残高を使用し、ギフトカードやゲーム内通貨を即座に購入してマネーロンダリング用の別アカウントへ送金します。
- ゲーム機本体との機器認証解除： 被害者のPlayStationやXboxコンソールとの紐付けを遠隔で強制解除し、実機からのゲームライブラリへのアクセスを遮断します。
主要ゲームプラットフォームの防御機構と技術的差異
利用しているゲームプラットフォームがどのような認証方式を採用しているかによって、プッシュ爆撃に対する耐性は大きく異なります：
1. Microsoft / Xbox：番号一致（Number Matching）による完全封殺
単純な「承認 / 拒否」の2択式プッシュ通知は、疲労攻撃に対して最も脆弱です。この弱点を根本的に解消するため、マイクロソフトは公式認証アプリにおいて**番号一致（Number Matching）**を導入しました。サインイン時にブラウザ画面へランダムな2桁の数字が表示され、ユーザーはスマートフォンの認証アプリにその数字を正しく入力しなければ認証を通過できません。遠隔地の攻撃者は被害者の画面に表示された数字を知ることができないため、盲目的な承認タップは完全に無力化されます。また、Microsoftアカウントは「パスワードレス認証」にも対応しており、パスワード自体の漏洩リスクを排除できます。
2. PlayStation Network：SMS認証からの脱却
PSNはSMSによる認証と、サードパーティ製認証アプリ（Google Authenticatorなど）による認証に対応しています。SMS認証はプッシュ爆撃やSIMスワップのリスクに晒されやすいのが実情です。TOTP（時間基準ワンタイムパスワード）認証アプリへ移行することで、プッシュ通知自体が発生せず、アプリ内で30秒ごとに更新される6桁の数字を入力する方式になるため、プッシュ爆撃の被害を完全に防ぐことができます。
3. Steam：Steamガードの強固な設計思想
ValveのSteamモバイルアプリは、PCログインにおいて単純なワンタップ承認を採用していません。Steamにログインする際は、画面上のQRコードをアプリのカメラでスキャンするか、端末内で生成される5桁の英数字コードを手動入力する必要があります。トレード確認ではプッシュ通知が届きますが、アカウントログインそのものが連続タップ疲労によって突破されることはありません。
4. Ubisoft Connect および EA アカウント
UbisoftやEAはメール認証コードや認証アプリを採用しています。自身が操作していないにもかかわらず突然認証コード付きのメールや通知が届いた場合、それは攻撃者が現在進行形であなたの正しいパスワードを入力していることを意味します。
連続通知爆撃を受けた際の緊急対応手順
もし現在、スマートフォンに認証通知が連続して押し寄せている場合は、直ちに以下の緊急対応を実施してください：
- 絶対に承認を押さない： 画面の「拒否」をタップし、確認画面が出た場合は「心当たりがない」「不正な活動を報告」を選択します。
- パスワード漏洩の事実を認識する： 通知爆撃が発生しているということは、すでに攻撃者に正しいIDとパスワードを把握されていることを意味します。通知を拒否するだけでは一時しのぎに過ぎず、マスターパスワードの変更が急務です。
- 安全な別端末からパスワードを変更する： マルウェア感染の恐れがない別のPCや端末から公式サイトにアクセスし、推測不能な16桁以上の独立した強力なパスワードへ直ちに変更してください。
- すべてのセッションからサインアウト： セキュリティ管理画面にある「すべてのデバイスからサインアウト」を実行し、攻撃者に発行された可能性のある一時アクセストークンを一括破棄します。
- 登録情報と連携機器の監査： アカウント設定を開き、見知らぬエイリアス、予備メールアドレス、未承認のゲーム機が勝手に追加されていないか確認してください。
深夜に家庭用ゲーム機やPCプラットフォームのアカウント宛てに連続した認証通知が届いた際、365Findsのアカウントセキュリティガイドでは、認証要求の集中をマスターパスワードがすでに漏洩している決定的な証拠とみなし、即座にパスワード変更を実施することを推奨しています。
アカウント防衛チェックリスト
- 番号一致またはTOTP認証の有効化： 単純なワンタップ承認を廃止し、数字の一致確認や時間更新型の認証コード入力方式へ切り替える。
- パスワードの使い回しを完全に排除： ゲーム用メインアカウントのパスワードを、非公式ファンサイトやDiscordの外部サービスと絶対に共用しない。
- バックアップコードのオフライン保管： 2段階認証設定時に発行される緊急バックアップコードは、クラウドのスクリーンショットではなく、物理的な手帳や暗号化されたパスワードマネージャーに保管する。
- 不要な支払い情報の保存見直し： ストアでの購入時にPINコード入力を義務付ける設定を有効化し、不正ログイン時の即時残高引き出しを防ぐ。