身に覚えのない認証通知。承認せず報告する手順

通知を止めたくても、心当たりのない承認で片付けない。

繰り返す通知を、見過ごさない仕組みにする

カナダのサイバーセキュリティ機関は、繰り返す認証通知で承認を促すMFA疲労攻撃と、IT担当への報告を説明しています。SONAEは、社員向けの案内に「自分が始めていないログインは承認しない」「既知の社内窓口へ連絡する」を含める方法を提案します。通知が来たことだけで侵害が成立したと断定する必要はありませんが、忙しいからと承認して終わらせるのは避けます。報告しやすい窓口を平時に用意しましょう。

後から来る電話やチャットも、別に確かめる

通知が続いた後に、IT担当やサービス提供元を名乗る相手から操作を頼まれる場面を想定します。相手が社員の名前やサービス名を知っていても、その連絡だけを信頼しません。社内で確認済みの窓口へ、自分から別の経路で確かめます。承認操作、表示された数字、認証コードをその場で提供しないようにします。新しく送られたURLや番号を、確認済みの連絡先として扱わないことも重要です。

報告するのは、秘密ではなく起きたこと

いつから、どのサービスらしい通知が、どの端末へ届いたか、自分でログインした心当たりがあるかを伝えます。誤って承認した場合も隠さず、時刻と行った操作を知らせます。画面の写真を送るなら、認証コードや個人情報を含めない社内の手順に従います。社員に原因の特定や攻撃者の調査を任せず、管理担当が記録や設定を確認する役割を用意します。演習では実サービスの通知を発生させず、架空の画面で報告の手順を確かめます。

通知方式だけで、対策が完了したとしない

Microsoftは、Authenticatorの番号照合による承認の仕組みを説明しています。方式の改善は検討できますが、番号を相手から聞いて入力するよう誘導された場面まで、すべて防げると判断しないようにします。利用中の製品で選べる認証方法、フィッシングに強い方式、利用者への案内を確認します。設定の変更は、業務と回復手順への影響を見て計画してください。会社全体の認証をこの記事だけで変更する案内ではありません。

管理担当の確認と、利用者への返答を決める

管理担当は、製品の記録や公式手順に沿って、対象アカウント、不審な利用、認証手段の状態などを確認する計画にします。必要な対応は社内の責任者と判断し、社員には、何が分かり、次に何をしてよいかを返します。通知が止まったから安全と決めず、確認した範囲と残る疑問を残します。勤務時間外の報告先や担当不在時の代替も、窓口の案内へ含めます。受け手がいない窓口を置くだけでは十分ではありません。

架空の画面で、承認しない練習をする

実際のサービスを使わず、架空の通知と社内窓口の案内を使って、心当たりの確認、承認せず報告、管理担当の返答をたどります。正解を急がせる訓練ではなく、迷ったときに止まって相談できることを確かめます。完了の目安は、利用者が窓口と伝える内容を知り、管理者が確認と返答を引き受けられることです。繰り返す通知を個人の我慢で解決させず、組織の対応へつなげましょう。

相談前の確認表

• 身に覚えのない通知を承認しない
• 後から来る依頼も別経路で確認する
• コードではなく事実を報告する
• 管理者の確認と返答の担当がある

参考資料（確認日：2026年10月23日）：Canadian Centre for Cyber Security：Steps for effectively deploying MFA ↗ ／ Microsoft Learn：How number matching works in Authenticator ↗

一般的な説明とSONAEの運用提案です。製品の公式条件と自社の管理責任者の判断を確認してください。