本記事は、セキュリティイベント「SANS DFIR Summit 2025」におけるセドリーニ氏の講演「How Threat Actors Persist In Your Microsoft 365」の内容を基に再構成している。

　頻繁に観測される初歩的な永続化手法が、クラウド型メールサービス「Exchange Online」における受信トレイのルールの悪用だ。攻撃者は標的アカウントに侵入後、自身の活動を隠すために受信ルールを変更する。例えば、特定のキーワードを含むメールを、ユーザーが普段チェックしない「RSSフィード」などのフォルダに自動で移動させる。

　さらに厄介なのが、外部への自動転送ルールの設定だ。これによって、アカウントのパスワードやMFA（多要素認証）がリセットされた後でも、新たに受信したメールのコピーが複数件の外部アドレスに送信され続ける可能性がある。これは、情報の窃取が止まらない事態を引き起こし得る。

　この対策としては、「Microsoft Defender XDR」などのセキュリティツールを活用し、社外へのメール自動転送をシステムで自動的に検出・ブロックする設定が不可欠だ。

レガシー機能「アプリパスワード」の盲点

　見落とされがちなのが、「アプリパスワード」を利用した永続化だ。アプリパスワードは、MFAによる認証画面が利用できない古いレガシーアプリケーション向けに用意された機能だ。エンドユーザーは最大40個の専用パスワードを生成できるが、管理者用の管理画面からは、どのエンドユーザーがアプリパスワードを設定しているのかが見えにくいという構造的な弱点が存在する。

　セドリーニ氏が担当した実際のインシデントでは、侵害発覚後にパスワードリセットとMFAデバイスの消去を実施したにもかかわらず、数日後に再びアカウントが不正利用された。原因は、攻撃者が侵入中にアプリパスワードを作成していた点にある。管理者はMFAデバイスの登録状況は確認できても、アプリパスワードの存在を見落としていた。

　このリスクを排除するには、自社のシステム構成でアプリパスワードが本当に必要かどうかを検証し、不要であればテナント全体で機能を無効化することが望ましい。利用が避けられない場合でも、インシデント対処の手順書（プレイブック）に「該当ユーザーのアプリパスワードの一括削除」を必ず組み込むべきだ。

セルフサービスパスワードリセット（SSPR）を突く手口

　エンドユーザー自身でパスワードを再設定する機能「SSPR」（セルフサービスパスワードリセット）も、Microsoft 365の利便性を高める上では有用だが、設定次第では攻撃者の再侵入経路になる。

　攻撃者はアカウントを掌握すると、即座に自身のMFAデバイスを追加登録できるようになる。これによって、正規ユーザーのパスワードがリセットされても、攻撃者はSSPR機能を利用して、追加したMFAデバイスで認証を済ませ、自ら新しいパスワードを設定してシステム内に復帰してしまうのだ。

　対策としては、インシデント対処時に既存のMFAデバイスの登録を全て解除し、エンドユーザーに再登録を強制することが基本だ。SSPRの実行要件を厳格化し、SMS（ショートメッセージサービス）や認証アプリなど「複数のMFA手段」の組み合わせを要求するよう設定を変更することで、攻撃者の再侵入のハードルを上げることが可能になる。

Entra IDのサービスプリンシパルへのバックドア

　高度な攻撃者は、MicrosoftのID・アクセス管理サービス「Microsoft Entra ID」のエンタープライズアプリケーションを悪用する。Microsoft 365では、サードパーティーのアプリケーションを連携させる際、テナント内にそのアプリケーションのインスタンスである「サービスプリンシパル」が作成される。

　攻撃者はグローバル管理者などの高い権限を持つアカウントを侵害すると、バックアップアプリケーションなどの正規ツールを装った、悪意あるアプリケーションを登録する。その後、そのサービスプリンシパルに独自のシークレット（パスワード）や証明書を追加する。これによって、攻撃者はエンドユーザーの認証情報を必要とせず、データ連携システム「Microsoft Graph API」などを経由してメールや「Microsoft OneDrive」のデータに永続的にアクセスできるようになる。

　サービスプリンシパルに追加されたシークレットは、通常の画面からは発見しづらい傾向がある。監査ログからサービスプリンシパルの更新といったイベントを監視することが重要だ。一般ユーザーによる勝手なアプリケーションの追加を禁止し、管理者の同意を必須とする設定変更も加えるとよい。

ドメインフェデレーションと外部サービスへの波及

　高度な手口として、ドメインフェデレーション機能の悪用が挙げられる。これは、認証一元化サービス「ADFS」（Active Directory Federation Services）などのオンプレミスシステムやサードパーティーのIDプロバイダーと、Microsoft 365を連携させる仕組みだ。攻撃者は特権アカウントを利用し、自らが管理する不正なサードパーティーのIDプロバイダーや証明書をテナントにひも付ける。これによって、攻撃者は自前で作成したトークンを用いて、テナント内の任意のユーザーになりすましてログインできるようになる。この手法はパスワードやMFAの要求を完全に擦り抜けるため、非常に危険だ。対策としては、ドメインの認証設定やフェデレーション設定の変更を厳重に監視する仕組みが求められる。

　最後に、セドリーニ氏はMicrosoft 365の「外側」に及ぶ被害にも言及している。攻撃者は侵害したメールアドレスを利用し、「Dropbox」などの外部ファイル共有サービスにアカウントを作成するケースがある。たとえMicrosoft 365から攻撃者を完全に排除しても、攻撃者はその外部サービス上で自社の従業員になりすまし、取引先へのフィッシング攻撃を継続してしまう。IR調査においては、外部に送信されたメールだけではなく、侵害期間中に受信した「外部サービスの登録完了メール」にも注意を払い、リスクを完全に断ち切る必要がある。

本稿は、SANS Instituteが2025年8月15日に公開した動画「How Threat Actors Persist In Your Microsoft 365」を基に作成しました。