Check Pointによると、攻撃者は偽のMicrosoftログインページから脱却しつつあり、代わりにMicrosoft自体の認証システムを悪用することで、従業員が見分けるよう訓練されている警告サインをすり抜けたフィッシングキャンペーンを展開しています。
研究者らは6月25日から7月第2週にかけて、幅広い業界・国にまたがる約120の組織を標的とした200件超のフィッシングメールを発見しました。
このメールはMicrosoft Plannerのタスク割り当て通知を装ったもので、人事部門が給与および福利厚生の更新情報を共有したと主張し、複数の期限切れ従業員タスクを表示することで緊急性を演出し、受信者に埋め込みリンクをクリックさせようとします。
偽のMicrosoft Plannerタスク割り当て通知(出典:Check Point)
「メッセージ内のすべてのリンク、2つの行動喚起ボタンを含め、同一のリダイレクト先につながっています。また、表示されている送信者アドレスは標的組織自身のものであり、このメールは送信元として表示されている本人宛てに送られていることになります」とCheck Pointは説明しています。
攻撃の仕組み
ユーザーがリンクをクリックすると、本物のlogin.microsoftonline.comのOAuth認証ページに誘導されるため、URL自体は不審に見えません。サインイン後、ユーザーには自分自身または組織に対するアクセスを承認するよう求める権限リクエスト画面が表示されます。ユーザーが同意すると、Microsoftはそのアプリケーションに登録されたアドレスへブラウザをリダイレクトします。
研究者らによると、今回のキャンペーンでは、このリダイレクト先はMicrosoftではなく、攻撃者が管理するAWS API Gatewayのエンドポイントを指していました。
このエンドポイントは認証トークンを受け取り、攻撃者はこれを被害者のアカウントへのアクセス権と交換できます。獲得できるアクセスレベルは、ユーザーが承認した権限の範囲によって決まります。
Check Pointは、この手法がすでに一般化しており、ますます拡大していると警告しています。
「これはMITRE ATT&CKフレームワークで名前が付けられ追跡されている手法であり、2026年には標的を絞った手作業による攻撃から、事実上誰でも借りられるサービスへと進化しました」
被害者が何を承認したかによっては、攻撃者が制御するアプリが、メール、ファイル、Teamsチャット、SharePoint、OneDrive、カレンダーデータを含む、被害者のMicrosoft 365環境全体に侵入する可能性があります。
Check Pointは、クリック前にリンクにカーソルを合わせて確認すること、また1通のメール内で複数のボタンが同一URLにつながっている場合は警告サインと見なすことを推奨しています。さらに、表示名は内部のものに見えてもなりすまされる場合があるため、送信者名・アドレス・ドメインが一致しているかを確認するよう勧めています。
「このキャンペーンはすでに活動を停止していますが、攻撃者が従来のフィッシング対策をいかに根本的に異なる方法で回避するようになったかを示す、また一つの事例です」と研究者らは結論付けています。
翻訳元: https://www.helpnetsecurity.com/2026/07/30/microsoft-authentication-system-phishing/
