2026年5月以降に確認されているこの攻撃活動は、ソーシャルエンジニアリングに大きく依存しています。被害者はまず、組織のITヘルプデスクを装った人物から電話やSMS、あるいはMicrosoft Teamsのメッセージを受け取ります。
攻撃者は、アクセス権を失わないためにパスキーや多要素認証(MFA)、SSO設定を至急更新する必要があると被害者に持ちかけます。
その後、被害者は偽のMicrosoftサインインページへ誘導されます。多くの場合、パスキーに関するメッセージは単なる誘い文句にすぎません。
攻撃者の真の狙いは、中間者攻撃(AiTM)フィッシングを通じて認証情報やセッショントークンを窃取すること、あるいは正規のMicrosoftページ上でデバイスコード認証リクエストを承認するよう被害者を欺くことにあります。
アクセス権を獲得した後、攻撃者は侵害を持続させるために迅速に行動します。新しい電話番号やMicrosoft Authenticatorデバイス、ソフトウェアベースのワンタイムパスワードトークンなど、自らが管理する認証方法を登録するのです。
この追加されたMFA方式によって、脅威アクターは被害者を介することなく、その後の認証プロンプトを突破できるようになります。
Microsoftは、攻撃者が盗んだトークンや失効していないセッションを、これら新たに追加した認証方法と組み合わせてアクセスを維持している可能性があると指摘しています。
ある調査事例では、管理されていないデバイスからMicrosoft OfficeHomeへの不審なサインインが発端となっていました。
MFAの完了後、同じセッションからMy Apps、My Profile、My Sign-Ins、Microsoft Approval Management、SharePoint Online、OneDrive、Outlook Web、そして社内の業務アプリケーションへのアクセスが行われました。
脅威アクターはこのアクセス権を利用して、利用可能なアプリケーション、ユーザー、グループ、ロール、認証方法、クラウドリポジトリ、メール、添付ファイルを特定していきました。
攻撃者は、信頼されている社内アカウントを利用して、Microsoft Teams経由でパスキーをテーマにしたメッセージを送信するケースも確認されており、これにより従業員がリクエストを信用してしまう可能性が高まっています。
攻撃者が使用するフィッシングドメインには、標的企業名がサブドメインとして組み込まれていることが多く、例えばcontoso.add-passkey.comのようなドメインが使われます。これにより、悪意のあるURLが一見して信頼できるものに見えてしまいます。
持続的なアクセスを確保した後、攻撃者はMicrosoft Graph APIを悪用して被害者のMicrosoft 365環境の全体像を把握していきます。
ディレクトリ内のユーザーやグループを列挙し、特権ロールを特定した上で、エンタープライズアプリケーションやOAuth権限を精査し、SharePointサイト、OneDriveフォルダー、メッセージ、添付ファイルの所在を突き止めます。
Microsoftは、単発のGraph APIリクエストだけを見れば正常に見える可能性があると警告しています。危険性が明らかになるのは、同一アカウントが一つのセッション内、あるいは短期間のうちに、ID情報の探索、権限チェック、ファイル検索、メールボックスの列挙、コンテンツの取得を組織的に実行している場合です。
最終段階はクラウド上のデータ収集です。Microsoftの観測によれば、SharePointおよびOneDriveへの大量のファイルアクセスとダウンロード、さらにREST APIを介したExchange Onlineのメール収集が確認されています。
一部の活動ではpython-httpxというユーザーエージェントが使用されており、自動化が疑われますが、Microsoftはユーザーエージェントの情報だけでは悪意ある挙動の証拠にはならないと注意を促しています。
注: IPアドレスおよびドメインは、誤って名前解決やハイパーリンク化されるのを防ぐため、意図的にディフェング処理（例: [.]）を施しています。再度有効な形式に戻す際は、MISP、VirusTotal、あるいは自社のSIEMなど、管理された脅威インテリジェンス基盤の中でのみ行ってください。
16,000以上の組織から得られる最新のインテリジェンスで、脅威の検知率を58%向上。TIフィードを統合し、貴社のSOCを強化しましょう
翻訳元: https://cyberpress.org/passkey-phishing-hijacks-microsoft-365/
