M365で79組織のメール乗っ取り 多要素認証の後の情報を悪用

何が起きたのか

米国のセキュリティ企業Huntressは2026年10月22日、Microsoft 365のメールアカウントを狙う攻撃を報告しました。同社が対応した関連の事案は79組織です。期間は7月14日から9月22日までで、成功したサインインは少なくとも497回、失敗は20万回を超えます。

数字は、同社が自社の顧客の環境で観測できた範囲のものです。対象の業種は、報告に書かれていません。

手口

攻撃者は利用者と本物のログイン画面の間に入る偽のページを使い、利用者が多要素認証を済ませると、発行されたトークン（ログイン済みであることを示す情報）を受け取ります。別の端末でコードを入力させるデバイスコードの悪用もありました。この方式では、利用者はMicrosoftの本物のサインイン画面にコードを入力させられます。

盗んだトークンは短時間で使われます。9月22日の例では、被害者が多要素認証の画面に着いてから攻撃者がセッションを再利用するまで、4分でした。トークンは認証の後に発行されたものなので、持っている人は多要素認証をもう一度通る必要がありません。7月21日の例では、中継の偽ページが被害者を捉えてから約12分後に別のアドレスからセッションが使われ、その後に攻撃者の認証アプリが登録されました。

同社は、トークンを捕まえる側と再利用する側が、別の接続元に分かれていたと説明しています。再利用する側のアドレスだけを止めても新たな窃取は防げず、捕まえる側だけを止めても、すでに盗まれたトークンの再利用は防げません。

入った後にしたこと

• 不正な端末を少なくとも48台、組織の管理画面に登録しました
• 19組織では3時間以内に既存の多要素認証を消し、自分の認証方法を登録しました
• 短い名前の受信ルールを作り、メールを消したり別のフォルダへ隠したりしました

登録された端末の名前には、DESKTOP- に8桁の16進数（0〜9とa〜f）が続く形が多く見られました。ただし同社は、ほかの形の端末もあるとして、消す前に確認するよう注意しています。認証アプリには「iPhone 13」という名前のものが登録された例がありました。受信ルールには、記号や1〜3文字ほどの短い名前が使われています。

ある例では、給与や銀行に関するメールに目印を付けるルールを作り、その後、外部の会計士へ給与に関するメールを送りました。会計士からの返信は、本人に見えないようにされています。別のメールボックスでは、大量の迷惑メールが送られました。

こうした設定が残る限り、パスワードを変えても攻撃者は戻れます。端末と認証方法は、セッションが終わった後も残る可能性があるためです。

同社がすすめる対策

パスワードを変えるだけでは、攻撃者の端末や認証方法が残ります。同社はログイン状態の取り消しとパスワードの変更を合わせて行い、端末、認証方法、受信ルールを点検するよう案内しています。

予防として次の3つをすすめています。

• 接続元などでログインを制限する設定（条件付きアクセス）を、全利用者、全クラウドアプリ、全種類のクライアントに適用する
• デバイスコードを使う認証を、条件付きアクセスで制限する
• 一般の利用者が新しいアプリに同意する権限を止め、管理者の承認制にする。新しく登録されたエンタープライズアプリも定期的に見る

また、ログインの失敗の多さより、正しい認証情報が使われたかどうかを優先して見るよう勧めています。失敗が多い組織ほど、すでに対策が働いていた例があったためです。条件付きアクセスに止められた記録でも、正しい認証情報が使われた証拠として扱います。

自社で手を動かすところ

小さな会社でも、管理画面で次の作業ができます。

• 役員と経理の受信ルールを一覧し、名前が記号や短い文字だけのもの、メールを削除したり「RSS Feeds」のような別のフォルダへ移したりするものを探す
• 登録された端末の一覧で、覚えのない端末と、最近消されて登録し直された多要素認証を探す
• 乗っ取りが疑われたときの手順に、パスワードの変更だけでなく、サインインの取り消し、端末と認証方法の確認、受信ルールの削除を入れる