フィッシング耐性MFAとは？従来の多要素認証との違い・対象の認証方法・Microsoft 365での設定方法

• 多要素認証を入れているのに、フィッシングで乗っ取られることがあると聞いて不安…
• フィッシング耐性MFAという言葉を見かけるけれど、今のMFAと何が違うのかわからない
• 管理センターの『認証強度』は、どれを選べばいいの？

Microsoft 365では、多要素認証（MFA）を有効にしている会社が増えてきました。

ところが最近は、SMSのコードやスマホへの承認通知までだまし取る手口が広がり、「MFAを入れていれば安心」とは言い切れなくなっています。

そこで注目されているのが「フィッシング耐性MFA」です。

この記事では、Microsoft 365の導入・セキュリティ支援を行う株式会社WITHWITが、兼務のIT担当者の方にもわかるように、フィッシング耐性MFAの基本から設定画面までを解説します。

フィッシング耐性MFAとは、偽のサインイン画面に誘導されても、攻撃者に認証情報を渡さない仕組みを持つ多要素認証のことです。

Microsoftの日本語ドキュメントでは「フィッシングに強いMFA」とも表記されます。

代表的な方法は、パスキー（FIDO2）、Windows Hello for Business、証明書ベースの認証です。

多要素認証とは、パスワード（知っているもの）に、スマホや指紋（持っているもの・本人の特徴）を組み合わせて本人確認をする仕組みです。

Microsoftの調査では、MFAは99.2%を超えるアカウント侵害攻撃を防げるとされており、今でも最も効果の高い対策の1つです。

ただし、MFAの「方法」によって、フィッシングへの強さに大きな差があります。

SMSのコードや認証アプリの承認通知は、本人が「偽物のサイト」に入力・承認してしまうと、そのまま攻撃者に使われてしまいます。

代表的な手口は次の3つです。

手口	しくみ	突破されやすい方法
AiTM（中間者型フィッシング）	偽サイトが本物との間に入り、パスワードとMFAの結果をリアルタイムで中継して盗む	SMS・音声・ワンタイムパスワード・承認通知
MFA疲労攻撃（MFA爆弾）	承認通知を何度も送りつけ、根負けした利用者に「承認」を押させる	承認通知
SIMスワップ	携帯電話会社をだましてSIMを再発行させ、SMSを横取りする	SMS・音声

AiTM（Adversary-in-the-Middle）とは、攻撃者が利用者と本物のサイトの間に入り込む攻撃です。

利用者は普段どおりにパスワードを入れてMFAも済ませるため、だまされたことに気づきにくいのが特徴です。

攻撃者は、サインイン後に発行されるセッション情報（Cookie）まで盗み取り、本人になりすましてMicrosoft 365にアクセスします。

なお、MFA疲労攻撃への対策として、現在のMicrosoft Authenticatorでは、承認通知に画面に表示された番号を入力する「番号の一致」が必須になっています。

ただし、偽サイトに表示された番号を本人が入力してしまえば中継されるため、AiTMは防げません。

パスキーなどのフィッシング耐性MFAが偽サイトに強いのは、認証情報が「登録した本物のサイト」にひも付いているからです。

パスキーは、サイトごとに作られる公開鍵暗号のペアで、スマホやパソコンは、登録したドメインと一致するサイトにしか応答しません。

そのため、見た目がそっくりな偽サイトに誘導されても、端末側が「このサイトは違う」と判断し、認証そのものが行われません。

利用者がだまされても仕組みで守られる点が、従来のMFAとの最大の違いです。

パスキーの仕組みは「パスキーとは？仕組み・メリット・デメリットをわかりやすく解説」で詳しく解説しています。

Microsoft Entra ID（Microsoft 365のアカウント基盤）では、フィッシング耐性のある認証方法として、次の6つが挙げられています。

SMS・音声通話・承認通知・ワンタイムパスワードは、MFAではあってもフィッシング耐性はありません。

認証方法	フィッシング耐性	主な使いどころ
Microsoft Authenticator のパスキー	あり	スマホを持つ社員全般
同期されたパスキー（FIDO2）	あり	iCloudキーチェーンなどで端末間で共有
FIDO2 セキュリティ キー	あり	管理者、スマホを持たない社員
Windows Hello for Business	あり	会社支給のWindowsパソコン
macOS のプラットフォーム資格情報	あり	会社支給のMac
証明書ベースの認証（多要素）	あり	証明書基盤がある企業
Authenticator の承認通知	なし	標準的なMFA（番号の一致あり）
ワンタイムパスワード（認証アプリ・ハードウェア トークン）	なし	標準的なMFA
SMS・音声通話	なし	Microsoft提供分は2027年2月に廃止予定

中小企業で現実的なのは、社員はAuthenticatorのパスキー、管理者はFIDO2セキュリティ キー（またはAuthenticatorのパスキーとの併用）、会社支給のWindowsはWindows Hello for Businessという組み合わせです。

FIDO2セキュリティ キーの登録手順は「FIDO2セキュリティキーをMicrosoft 365にパスキーとして登録する手順」で解説しています。

パスキーは、フィッシングに耐えられる認証方法です。

Microsoftは、パスキーを「配信元にバインドされた公開キー暗号化」とローカルでの本人操作を組み合わせた方式とし、フィッシングすることは「ほとんど不可能」と説明しています。

ただし、パスキーを登録する前の段階（初回の登録や、スマホの機種変更時の再登録）は、従来の方法で本人確認をすることになります。

この登録のタイミングを狙われないよう、登録はできるだけ社内で、管理者が案内しながら行うのが安全です。

Microsoft 365まわりでは、ここ数年で「MFAは必須」「さらにフィッシングに強い方法へ」という流れがはっきりしてきました。

中小企業にも関係する主な変更は次のとおりです。

時期	変更内容
2024年10月〜	Azure portal・Microsoft Entra 管理センター・Intune 管理センターで、管理操作にMFAが必須に
2025年2月〜	Microsoft 365 管理センターへのサインインにもMFAの適用を順次開始
2026年9月1日	Entra IDでパスキーが既定の認証方法に。MFA時にパスキーの登録を促される
2027年2月1日	Microsoft提供のSMS・音声通話による認証を廃止（グローバル管理者・外部ユーザーは2027年7月1日）

Microsoft自身も、社内アカウントの92%をフィッシングに強い認証方法で保護していると公表しています。

パスキーを使ったサインインは、パスワードと従来のMFAの組み合わせより14倍速い（69秒→3秒）というデータもあり、セキュリティだけでなく使いやすさの面でも移行するメリットがあります。

Microsoft 365でフィッシング耐性MFAを必須にするには、条件付きアクセスの「認証強度」を使います。

認証強度とは、サインインに使ってよい認証方法の組み合わせを決める設定で、ポリシーの「許可」で指定します。

組み込みの認証強度は3種類あり、変更はできません。

必要に応じて、許可する方法を自分で選んだカスタムの認証強度も作れます。

認証強度	認められる主な方法	向いている対象
多要素認証	パスワード＋SMS・承認通知など、MFAを満たす方法すべて	全社員（まずはここから）
パスワードレス MFA	上記のうちパスワード不要の方法（Authenticatorの電話によるサインイン、パスキーなど）	パスワードをなくしたい社員
フィッシングに強い MFA	パスキー（FIDO2）、Windows Hello for Business・プラットフォーム資格情報、証明書ベースの認証（多要素）	管理者、重要データを扱う社員

条件付きアクセスを使うには、Microsoft Entra ID P1以上のライセンス（Microsoft 365 Business Premium・E3などに含まれる）が必要です。

条件付きアクセスの基本と、ポリシー作成の全体の手順はこちらの記事で解説しています。

条件付きアクセスとは？できること・必要なライセンス・設定方法を画像付きで解説【Microsoft Entra ID】

Microsoft 365のセキュリティを強化しようとすると、必ず出てくるのが「条件付きアクセス」です。 社外からのアクセス制限や多要素認証の必須化など、で...

Microsoft Entra 管理センターで「Entra ID」→「条件付きアクセス」→「認証強度」を開くと、組み込みの3つの認証強度が表示されます。

画面上は英語名で、「Phishing-resistant MFA」がフィッシングに強いMFAです。

「Phishing-resistant MFA」をクリックすると、含まれる認証方法を確認できます。

Windows Hello（ビジネス/プラットフォーム資格情報）、パスキー（FIDO2）、証明書ベースの認証（多要素）のいずれかでサインインすれば条件を満たします。

条件付きアクセス ポリシーの「許可」で「アクセス権の付与」を選び、「認証強度が必要」にチェックを入れて、一覧から「フィッシングに強い MFA」を選びます。

「多要素認証を要求する」と「認証強度が必要」は、同じポリシーで同時には選べません。

対象ユーザー・ターゲット リソースの指定、緊急アクセス用アカウントの除外、「レポート専用」での作成といった、それ以外の手順は通常の条件付きアクセス ポリシーと同じです。

最初に管理者だけを対象にするなら、テンプレートを使うのが手軽です。

条件付きアクセスの「ポリシー」→「新しいポリシーをテンプレートから」→「管理者の保護」タブにある「フィッシングに強い多要素認証を管理者に要求する」を選びます。

Microsoftは、グローバル管理者・セキュリティ管理者・Exchange管理者・SharePoint管理者・ユーザー管理者など、少なくとも14の管理者ロールにフィッシングに強いMFAを求めることを推奨しています。

対象の管理者が、パスキーなどフィッシングに強い方法を登録し終えてから有効にしないと、管理者自身がサインインできなくなるため注意してください。

いきなり全社員にフィッシング耐性MFAを必須にすると、登録が間に合わない社員がサインインできなくなります。

中小企業では、次の4段階で進めるのがおすすめです。

段階	やること	ポイント
1	全社員にMFAを必須にする	セキュリティの既定値群か、条件付きアクセスの「多要素認証」
2	管理者をフィッシング耐性MFAに切り替える	FIDO2キーかパスキーを2つ以上登録してからテンプレートを有効化
3	社員にパスキーを登録してもらう	Authenticatorのパスキー（iOS 17・Android 14以上）。SMS廃止前に完了
4	社員にも認証強度を適用する	レポート専用で影響を確認し、部署ごとに順に有効化

Microsoftは、どの利用者にも少なくとも2つの認証方法を登録しておくことを勧めています。

スマホの故障や紛失で唯一の方法が使えなくなると、サインインできなくなるためです。

新入社員や、MFAをまだ登録していない社員には、管理者が「一時アクセス パス（TAP）」と呼ばれる期限付きの一時コードを発行し、それを使って最初のパスキーを登録してもらう方法が推奨されています。

Microsoft 365の導入支援の現場では、「管理者アカウントだけは今すぐフィッシング耐性にする」というご相談が増えています。

管理者は会社全体のデータを扱えるため、まずは管理者から始め、社員への展開はSMS認証の廃止（2027年2月）までに計画的に進めるのが現実的です。

---

認証方法を切り替える時期は、「サインインできない」「パスキーの登録画面が出た」といった社員からの問い合わせが増えがちです。

Microsoft 365支援のプロが、現場で実際に寄せられるよくある質問と解決策を厳選してまとめた「トラブルシューティング大全」をご用意しました。

▼資料ダウンロードはこちら 『社内からの「これどうやるの？」を9割削減する Microsoft 365 トラブルシューティング大全』

---

• フィッシング耐性MFAとは、偽サイトに誘導されても認証情報を渡さない、パスキーなどの多要素認証のこと
• SMS・承認通知・ワンタイムパスワードは、AiTMやMFA疲労攻撃で突破される可能性がある
• Microsoft 365では、条件付きアクセスの「認証強度」で「フィッシングに強い MFA」を指定して必須にできる（Entra ID P1以上）
• まずは管理者から始め、社員へのパスキー登録はSMS認証の廃止（2027年2月）までに進める
• 利用者には2つ以上の認証方法を登録してもらい、レポート専用で影響を確認してから有効にする

フィッシング耐性MFAは、「社員がだまされても会社を守れる」ための仕組みです。

まずは管理者アカウントから、パスキーやFIDO2セキュリティ キーへの切り替えを始めてみてください。

条件付きアクセスや認証強度を使うには、Entra ID P1を含むプランが必要です。

Business Premiumで使えるセキュリティ機能は、こちらの記事でまとめています。

【セキュリティ対策も万全】Microsoft 365 Business Premiumで実現する、安心のIT環境とは？

「テレワークが普及して、社員が使うPCやスマホの管理が難しくなった」 「お客様の個人情報や会社の機密情報を扱っており、サイバー攻撃や情報漏洩が心配だ」 「専...

---

他社がどのようにセキュリティ対策を進めているか、気になりませんか？ 認証方法の切り替えをどこから始めるかは、会社の規模や社員のITスキルによって変わります。

そんな疑問をお持ちでしたら、ぜひ弊社の「中小企業の導入成功事例集」をご覧ください。

---

• Microsoft Learn「Microsoft Entra 認証の概要」https://learn.microsoft.com/ja-jp/entra/identity/authentication/overview-authentication
• Microsoft Learn「条件付きアクセスの認証強度」https://learn.microsoft.com/ja-jp/entra/identity/authentication/concept-authentication-strengths
• Microsoft Learn「Microsoft Entra 管理者ロールに対してフィッシングに強い多要素認証が必要」https://learn.microsoft.com/ja-jp/entra/identity/conditional-access/policy-admin-phish-resistant-mfa
• Microsoft Learn「Microsoft Entra ID のパスキー (FIDO2)」https://learn.microsoft.com/ja-jp/entra/identity/authentication/concept-authentication-passkeys-fido2
• Microsoft Learn「Azure と管理ポータルの必須の多要素認証」https://learn.microsoft.com/ja-jp/entra/identity/authentication/concept-mandatory-multifactor-authentication
• Microsoft Learn「Authenticator の番号の一致」https://learn.microsoft.com/ja-jp/entra/identity/authentication/how-to-mfa-number-match
• Microsoft Learn「フィッシングに強いパスワードレス認証の展開」https://learn.microsoft.com/ja-jp/entra/identity/authentication/how-to-deploy-phishing-resistant-passwordless-authentication
• Microsoft Learn「フィッシングに強い MFA（Secure Future Initiative）」https://learn.microsoft.com/ja-jp/security/zero-trust/sfi/phishing-resistant-mfa
• Microsoft Learn「SMS・音声通話による認証の廃止」https://learn.microsoft.com/ja-jp/entra/identity/authentication/concept-sms-voice-retirement