EvilTokensは、Microsoftのデバイス認可フローを悪用して有効なMicrosoft 365トークンを取得する手口で、フィッシング・アズ・ア・サービス(PhaaS)を認証情報窃取の枠を超えて拡張しています。
被害者は正規のMicrosoftサインインとMFA(多要素認証)チャレンジを完了させているにもかかわらず、知らぬ間に攻撃者が管理するセッションを承認してしまいます。
このPhaaSサービスは2026年2月中旬からTelegramで宣伝されており、後にSekoiaの研究者らによって、すぐに使えるMicrosoftデバイスコードフィッシングキットとして報告されました。
その商用モデルは、報道によると1,500ドルのパネルアクセス料金と、稼働中のフィッシングインフラおよびバックエンドAPIアクセスをカバーする月額500ドルのライセンス料を組み合わせたものとされています。
従来型の認証情報フィッシングとは異なり、EvilTokensはMicrosoftログインページの偽造ページやパスワードの窃取を必要としません。
このプラットフォームはOAuth 2.0の「デバイス認可グラント(Device Authorization Grant)」を悪用しています。これは本来、ブラウザベースの認証セッションをホストしにくいデバイス向けに設計された正規の仕組みです。
通常のフローでは、ユーザーはあるデバイスで認証を行い、別のデバイスに関連付けられたコードを入力します。
EvilTokensはこの分離構造をソーシャルエンジニアリングの機会に変えてしまいます。被害者はおとりのメッセージを受け取り、攻撃者が管理するページに誘導されます。このページは新しいMicrosoftデバイスコードを生成します。
続いてこのページは被害者を正規のMicrosoftデバイスログインポータルへと誘導し、被害者はそこでコードを入力し、MFAを含む通常の認証を完了させてしまいます。
辞書と百科事典
その結果、Microsoftは被害者ではなく攻撃者が開始したデバイスセッションに対して、アクセストークンとリフレッシュトークンを発行することになります。
この点がこの脅威の核心です。MFAが技術的に破られているわけではなく、被害者が本物の認証リクエストを承認するよう巧妙に操られているのです。
攻撃者は認証情報を盗むことなく利用可能なトークンを取得できるため、パスワード窃取に伴う分かりやすい兆候を減らしながらMicrosoft 365サービスへのアクセスを得ることができます。
Sekoiaによると、EvilTokensのページは2026年2月中旬から出回っており、このプラットフォーム自体は3月上旬にフィッシング関連の犯罪コミュニティで確認されたということです。
このサービスは、デバイスコードフィッシングが抱える実務上の制約にも対処しています。Microsoftのデバイスコードは寿命が短く、一般的に有効期限は15分です。
フィッシングメッセージ送信時にコードを生成するのではなく、EvilTokensは標的がおとりページを開いた後にコードを生成するとされています。
これにより、被害者がMicrosoftのサインイン画面に到達した時点でも認可リクエストが有効なままである可能性が高くなります。
Microsoftデバイスコードの悪用
EvilTokensをより深刻な脅威にしているのは、侵害後の段階に用意された機能層です。従来のPhaaSサービスの多くは、おとりコンテンツ、ランディングページ、認証情報の窃取、トラフィックのフィルタリング、ホスティングといったフィッシングインフラをコモディティ化することに主眼が置かれていました。
これに対しEvilTokensは、このサブスクリプションモデルをアカウントの偵察やビジネスメール詐欺(BEC)の準備段階にまで拡張しています。
Flareの研究者らによると、このプラットフォームには、加担者(アフィリエイト)が侵害したMicrosoft 365環境を分析する際に役立つよう設計された、AIを活用した機能が組み込まれているということです。
その目的は、請求書、支払い要求、取引に関するやり取り、意思決定者、取引先、承認ワークフローなど、標的型詐欺を後押しする情報を特定することにあります。
加担者にメールボックスを手作業で読ませて説得力のある後続の詐欺を組み立てさせる代わりに、このサービスは盗んだセッションアクセスを運用可能なインテリジェンスへと変換することを狙っています。
Cisco Talosは後に、EvilTokensとインフラ、APIの仕様、運用パターンを共有する「ARToken」と呼ばれる加担者向けパネルを調査しました。
Talosの報告によれば、このパネルは80を超えるAPIエンドポイントを公開しており、デバイスコードフィッシング、プライマリリフレッシュトークン(PRT)の永続化、メールアクセス、SharePointからのデータ窃取、BEC指向のワークフローに対応していました。これは、単独のフィッシングキットというよりも、成熟しつつあるエコシステムであることを示唆しています。
その運用規模はすでに顕著なものとなっています。Huntressは、米国、カナダ、オーストラリア、ニュージーランド、ドイツの344組織に影響を及ぼした16日間のキャンペーンを追跡しました。
この事案は2月の初期の事例から始まり、3月にかけて拡大しました。Huntressはこの活動をEvilTokensによるものと断定し、観測された事例の87.4%でデバイスコードフィッシングの痕跡を確認しています。
防御側は、業務上必要でない限りデバイスコード認証を制限し、承認済みのユーザー、アプリケーション、デバイス、場所に対して条件付きアクセス(Conditional Access)ポリシーを適用すべきです。
セキュリティチームはまた、異常なデバイスコード付与、異常なトークン発行、見慣れないサインイン元、メールボックスルールの変更、不審な同意アクティビティ、SharePointやクラウドリソースへの予期しないアクセスについて警告を発するようにすべきです。
データ侵害防止
何よりも重要なのは、ユーザー向けの意識向上トレーニングを進化させる必要があるということです。本物のMicrosoftログインページと成功したMFAプロンプトは、もはやそのリクエストが安全であることを保証する信頼できる兆候ではありません。
身に覚えのないデバイスコード、確認要求、認証プロンプトは、特にそれがメール、チャットメッセージ、あるいは予期しないサポートを装った通知から届いた場合、潜在的なフィッシングとして扱うべきです。
★ どのセキュリティツールを削減すべきか?1ページで採点 – 継承されたセキュリティスタックガイドをダウンロード
翻訳元: https://gbhackers.com/microsoft-device-codes-abuse/
