攻撃は、ITヘルプデスクなどを装った電話やメッセージから始まるケースがある。

　Microsoftによると、攻撃者は従業員の個人携帯に連絡し、「パスキーやMFA、SSO（シングルサインオン）の設定を今すぐ更新しなければ業務に支障が出る」などと伝える。その上で、Microsoftの正規サインイン画面を模倣したWebサイトへ誘導する。SMSでURLを送信する場合もある。

　ここで注意したいのは、「パスキーを登録させること」自体が攻撃者の目的とは限らないことだ。

　Microsoftによると、攻撃者はパスキーを口実に、中間者攻撃（AiTM）型フィッシングや「デバイスコードフロー」（スマートTVやコマンドライン＜CLI＞ツールなどWebブラウザやキーボード入力を使わない端末で安全に認証を進めるための仕組み）を悪用した認証へ誘導する。AiTMでは認証情報やセッショントークンを取得する。デバイスコードを悪用する場合は、正規のMicrosoft認証ページ上で被害者自身に攻撃者用のアクセスを承認させる。

　従業員が企業の管理対象ではない個人スマートフォンでフィッシングサイトを開いた場合、エンドポイント側に十分な証跡が残らない可能性もある。そのため、後の調査では「不審な電話やSMSを受けた」という従業員の証言が、侵入経路を特定する重要な手掛かりになる場合がある。

侵入後、攻撃者は「自分用のMFA」を登録する

　アカウントへの侵入に成功すると、攻撃者はアクセスを維持するための仕組みを作る。

　Microsoftは、被害者のアカウントに攻撃者が管理する電話番号やAuthenticatorアプリ、ソフトウェアベースのワンタイムパスワード（OTP）を新しい認証方式として登録する手口を確認している。

　つまり、一度認証を突破した後、攻撃者自身が次回以降のMFA要求を満たせる状態にする。情シスは、認証情報の窃取だけを確認して安心せず、「侵害後に認証方式が追加・変更されていないか」まで調べる必要がある。

Microsoft Graphで「社内の地図」を作る

　Microsoftによると、攻撃者はアクセスを維持できる状態を作ったあと、Microsoft Graphを使って組織内を偵察する。

　その対象はユーザーやグループだけではない。ディレクトリロールやMFAの方式、アプリケーション、OAuth権限、サービスプリンシパルなどを調査し、どのアカウントやアプリケーションが高い権限を持つのかを把握する。

　さらにSharePointやOneDriveのサイト、フォルダ、ファイルを検索し、メールボックスや添付ファイルにアクセスし、アクセス可能なクラウド上の情報を効率的に洗い出す。

「一気に盗まない」ことで通常利用に紛れる

　偵察を終えた攻撃者は、SharePoint OnlineやOneDrive for Business、Exchange Onlineなどからデータを収集する。ただし、攻撃者は必ずしも短時間で大量のファイルを取得するわけではない。

　Microsoftが確認した活動の中には、情報収集を数時間から数日間続けたり、1時間当たりのファイルやメールへのアクセスを1000件未満に抑えるケースがあったりした。通常の企業利用に紛れながら、時間をかけて大量の情報を持ち出す狙いがあるとMicrosoftはみている。

情シスが見るべきは「1つのアラート」ではなく攻撃の連鎖

　今回の攻撃で重要なのは、「怪しいIPアドレスをブロックすればよい」「大量ダウンロードだけを検知すればよい」という対策では不十分な点だ。

　Microsoftは、不審なサインインの後に新しい認証方式が登録され、Microsoft Graphによる偵察が発生し、その後SharePointやOneDrive、メールで異常なアクセスが発生していないかを、一連の流れとして調査するよう推奨している。

　侵害が確認された場合は、アクティブなセッションとリフレッシュトークンを失効させ、認証情報をリセットする。攻撃者が追加したMFA方式やメールボックスルールも削除し、安全な方法で認証方式を再登録させる必要がある。

　予防策としてMicrosoftは、パスワードレス認証の国際標準規格「FIDO2」やパスキー、生体情報やPIN（Personal Identification Number）を使って、パスワードに依存しないユーザー認証を実現する認証サービス「Windows Hello for Business」などフィッシング耐性のあるMFAを条件付きアクセスで要求することを推奨する。Microsoft Exchange、SharePoint、Microsoft Graphへのアクセスを管理対象・準拠済みデバイスに制限することや、業務上必要な場合を除いてデバイスコードフローをブロックすることも同社は提案している。

　さらに、Microsoft Graphのアクティビティログやメールボックス監査を有効化し、異常な列挙処理、新しい認証方式の登録、大量のファイルやメールへのアクセスを検知できる状態にしておくことも重要だ。

本稿は、Microsoftが2026年9月9日に公開したPasskey-themed social engineering leads to identity and cloud compromiseを基に作成しました。