ハッカーがIT サポートを装い、偽のパスキー通知でMicrosoft 365アカウントを乗っ取り

脅威アクターが企業のヘルプデスク担当者になりすまし、Microsoft 365のIDを乗っ取る積極的なソーシャルエンジニアリング攻撃キャンペーンを展開しています。このキャンペーンはMFAの永続化を確立し、SharePoint、OneDrive、Exchange Onlineから体系的にデータを収集します。

Datagovernance consulting

Microsoft Security Researchは、2026年5月以降、このクラウドを標的とした侵入を確認しているとしています。

この活動の特徴は、不審なサインイン、攻撃者による認証方法の追加、広範なMicrosoft Graph APIの偵察、そしてプロキシ関連インフラからの大量のクラウドデータアクセスです。

このキャンペーンは、従業員の個人端末への電話またはSMSの送信から始まります。

IT サポートを装った発信者は、アクセス権を失わないためには、パスキー、多要素認証の設定、またはシングルサインオン設定を至急更新する必要があると標的者に伝えます。

その後、被害者はMicrosoftを装った偽の認証ポータルへ誘導されます。このポータルは、標的組織の名前をサブドメインに埋め込んだドメインでホストされていることが多く見られます。

確認されている誘導用インフラの例としては、passkeyhelpdesk[.]com、secure-passkey[.]com、setupmypasskey[.]com、add-passkey[.]com、integratedsso[.]com、oktasession[.]comなどが挙げられます。

攻撃者はcontoso[.]add-passkey[.]comのような組織固有のURLを使用することが多く、これによって、慌ただしいヘルプデスク風のやり取りの中で、不正な誘導先がより信憑性を帯びて見えるようになっています。

パスキーという名目を使ってはいるものの、攻撃者が必ずしも正規のパスキーを登録させようとしているわけではありません。

Microsoftによると、この誘い文句は被害者をAiTM(Adversary-in-the-Middle)フィッシングやデバイスコード認証フローへ誘導するために頻繁に使われているとのことです。

AiTMのシナリオでは、フィッシング用インフラが認証情報と、認証済みセッショントークンを窃取します。

デバイスコードフィッシングでは、被害者は本物のMicrosoft認証ページにコードを入力するよう仕向けられ、それと知らずに攻撃者が管理するクライアントへMicrosoft 365リソースへのアクセス権を付与してしまいます。

この違いが重要なのは、デバイスコードの悪用によって、攻撃者がブラウザのCookieを盗むことなく、有効なOAuthトークンを取得できてしまうためです。

このトークンを再利用すれば、許可されたクラウドサービスにアクセスでき、被害者がすでに承認したMFAチャレンジを事実上バイパスできてしまいます。

乗っ取られるMicrosoft 365アカウント

Microsoftは、個人端末の使用によって調査が複雑化する場合があると指摘しています。端末が管理下にない場合、フィッシング活動がエンドポイントのテレメトリに現れないことがあるためです。

アクセス権を獲得した後、攻撃者は速やかに一時的なセッションを永続的なアカウント支配へと転換します。

Microsoftの観測によると、攻撃者は電話番号、認証アプリ、ソフトウェアベースのOTPトークンなど、新たな認証方法を登録しているとのことです。

攻撃者が管理するMFA要素が登録されると、特にアクティブなセッションや有効な認証情報が残っている場合、被害者の関与なしに今後のログインが可能になります。

次の段階は、Microsoft Graphを通じたテナントの偵察です。侵害されたIDは、ユーザー、グループ、ディレクトリロール、認証方法、アプリケーション、サービスプリンシパル、OAuth権限付与、SharePointサイト、OneDriveドライブ、メールボックスフォルダー、メール、添付ファイルを列挙する可能性があります。

個々のGraph APIリクエストはそれぞれ正当なものに見えるかもしれませんが、ID、権限、アプリケーション、リポジトリ、メールボックスといったリソースに次々と触れていく一連の動きは、侵入を示す強力な行動指標となります。

Microsoftは、攻撃者が認証、偵察、データ収集の各段階でIPアドレスをローテーションさせていることを確認しています。

その後、攻撃者はSharePoint OnlineとOneDrive for Businessの文書に大規模にアクセスしており、一部の事例ではREST API経由でExchange Onlineのメール収集も行われていました。

このデータ収集は意図的にペースが抑えられており、多くの場合1時間あたり1,000ファイルまたはメッセージ未満に留められていました。これは通常の企業活動に紛れ込みつつ、数時間から数日にわたってアクセスを維持するためとみられます。

Python-httpxは、複数の大量ファイルアクセスイベントで確認されていますが、Microsoftはユーザーエージェントだけでは悪意ある挙動の証拠にはならないと注意を促しています。

Microsoftは、この初期アクセスの手口を複数の攻撃者グループによるものとしており、Storm-3121とStorm-3032が含まれています。

Storm-3121はShinyHuntersに先行するアクセス活動およびFalconの恐喝活動との関連が指摘されており、一方Storm-3032は、BlackFileから分裂しHelixの恐喝ブランドの下で活動するアクターと関連付けられています。

組織は、不審なサインイン、新規の認証方法の登録、Graphの偵察活動、異常なSaaSダウンロードを、個別のアラートとしてではなく、一連のインシデントチェーンとして扱うべきです。

Microsoftは、不正な認証方法を直ちに確認・削除すること、アクティブなセッションを無効化すること、そして影響を受けたIDについてトークンの発行状況とサインイン活動を調査することを推奨しています。

セキュリティチームはまた、Graph APIのテレメトリを、SharePoint、OneDrive、Exchange REST、メールボックス、添付ファイルへのアクセスイベントと相関付けて分析すべきです。

Cloudsecurity solutions

特に注意を払うべきは、広範なAPIトラバーサル、ページング活動、ディレクトリロールの探索、OAuth同意の列挙、匿名プロキシ経由のアクセス、そして突発的な大量文書取得です。

従業員に対しては、パスキー、MFA、SSO、認証コードに関わるヘルプデスクからの要求は、必ず独自に確認するよう教育すべきです。

正規のITチームであれば、依頼していないSMSリンクを通じた認証を従業員に強要したり、電話で伝えられたデバイスコードの入力を求めたり、自ら開始していない認証プロンプトの承認を求めたりすることはありません。

IOC(侵害指標)

注: IPアドレスおよびドメインは、誤って解決されたりハイパーリンク化されたりすることを防ぐため、意図的に無害化(defang)されています(例: [.])。再有効化(re-fang)は、MISP、VirusTotal、またはSIEMなどの管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。

★ 7段階のメトリックゲート型AI SOC導入フェーズを学ぶ – 無料AI SOC導入プレイブック2026をダウンロード。