この攻撃における初期侵入は、人事部を装った1通のスピアフィッシングメールから始まった。メールの件名は「PTO Request Denied」（有給休暇申請の却下）であり、標的となった財務担当者の氏名や役職が正確に記載されていた。

　メール内に設置されたボタンには、アクセスを追跡するリンクが仕込まれており、エンドユーザーがクリックすると多段リダイレクトが起動して偽のMicrosoft 365サインインページに到達する仕組みだった。ここでエンドユーザーが気付かないままMFAのプロンプトを承認すると、AiTM（Adversary-in-the-Middle：中間者）リレーが作動する。

　この手法によって、攻撃者はパスワードだけではなく認証済みのセッショントークンそのものを窃取する。結果としてMFAは無力化され、攻撃者は窃取したトークンを海外の商用VPNインフラから再利用し、正規ユーザーとしてシステムに侵入することが可能となった。

2つのフェーズで進行するなりすまし

　セッションを乗っ取った攻撃者は、被害者の権限を用いて買掛金業務用の共有メールボックスに侵入し、詐欺行為を展開した。この詐欺は、時期の重なる2つのフェーズで進行している。

　第1フェーズは、攻撃の2日目から22日目にかけて実行された。攻撃者は無料Webメールアカウントを使用し、取引先の買掛金担当者になりすまして共有メールボックスに接触した。最初に、実在する未払い請求書20件の受領確認を実施することで信頼を確立し、その後、支払い方法を紙の小切手からACH（自動決済システム）に切り替えるよう要求した。約3週間の間に11回に及ぶメールのやりとりが交わされ、攻撃者が管理する銀行口座に支払いを変更するよう働きかけている。

　第2フェーズは、攻撃の21日目から24日目にかけて実施された。攻撃者は被害組織の正規サイトに似せた偽ドメインを取得し、被害組織内の買掛金業務の上席担当者になりすました。内部の経理スタッフ宛てに、3社の取引先に関するACH口座変更を依頼するメールを送信したのだ。外部の取引先と内部の上司という2つの方向から同時に指示を出すことで、依頼の正当性を偽装した。

発覚を防ぐための3つの隠蔽工作

　詐欺を長期間にわたって隠蔽（いんぺい）するため、攻撃者は被害者のメールボックスに3つの不正な受信トレイルールを仕掛けていた。

　1つ目のルールは、本物の取引先から送られる「支払期限超過」の督促メールを対象としたものだ。該当するメールを受信した際、自動的にアーカイブに移動させて既読化し、処理を停止させることで、被害者の目から督促を隠した。

　2つ目のルールは、なりすましメールスレッド自体を自動でアーカイブ・既読化して隠蔽するものだ。メールボックスの監査ログには、このルール作成の数分後にメールの論理削除や完全削除の操作が記録されており、攻撃者が手動で証拠隠滅を図っていた動きも確認されている。

　3つ目のルールは、社内の財務・経理担当者から送られるACH口座変更に関する問い合わせを対象としたものだ。このルールによって、社内からの疑問や確認の連絡も自動的にアーカイブに移され、既読メールとして扱われた。攻撃者は外部との交渉と内部の確認作業の両方を掌握し、発覚を防いでいたのだ。

ログの相関分析による根本原因の特定

　端末にマルウェアや侵害の痕跡が残らない本件に対し、MDRチームはクラウドサービスのIDおよびメールのテレメトリー（稼働情報）を相関分析することで事態の解明に至った。

　調査の端緒となったのは、システムが記録した「通常とは異なる移動」のアラートだ。同一のMicrosoft 365セッションがオランダのアムステルダムで認証された約1分後に、米国のロサンゼルスのVPN出口で認証されていた。物理的に不可能な間隔での移動は、セッショントークンが再利用されたことを示している。

　MDRチームは、Microsoft Entra IDのサインイン記録、メールボックスの監査アクティビティー、メールの送受信アクティビティーという3つのデータソースを連携させて分析を進めた。その結果、MFAのステータスが「Previously satisfied」（以前に充足済み）となっている単一要素でのサインインや、端末にひも付けされていないセッショントークンの再利用、社外のIPアドレスから作成された不審な受信トレイルールの存在が明らかになった。

　単体では見過ごされがちなこれらのログを組み合わせることで、AiTMフィッシングによるセッション窃取が根本原因であることを特定した。

被害を防ぐための対策

　このようなクラウド完結型のBEC攻撃を防ぐため、組織はシステムと運用の両面で対策を講じる必要がある。

　第一に、エンドポイント、メール、IDの各領域におけるテレメトリーを連携させ、相関分析を実現する仕組みを構築することだ。単一のログでは検出が困難な脅威であっても、複数の兆候を結び付けることで攻撃のタイムラインを可視化できる。

　第二に、アクセス管理システムにおける条件付きアクセスを活用し、トークン保護を有効にすることだ。暗号技術を用いて、セッショントークンを発行時の端末情報と一体化させることによって、窃取されたトークンが別の端末で再利用されることを防ぐ。

　第三に、口座情報の変更や資金移動を伴う業務において、メール以外の経路を用いた帯域外での確認プロセスを必須とすることだ。二重承認や事前に登録した電話番号への折り返し確認を義務付けることで、IDが侵害された場合でも資金の詐取を水際で食い止めることが可能になる。