攻撃者が社内IT担当者を装い、従業員の個人携帯に電話やメッセージを送りつけるソーシャルエンジニアリングキャンペーンが確認されています。従業員をだまして企業のクラウドアカウントへのアクセス権を渡させる手口です。Microsoft Security Researchによると、いったん侵入されると、攻撃者はMicrosoft 365アプリやSharePoint、OneDrive、受信トレイから数週間にわたってファイルやメールを抜き取り続けます。
（出典：Microsoft）
研究者らは2026年5月からこのキャンペーンを追跡しています。最初の接触が会社の管理下にない個人携帯で行われることが多いため、調査担当者が手がかりを見つけにくいのが特徴です。実際に調査した複数のケースでは、従業員が電話やメッセージを受けたことを覚えていたことだけが唯一の手がかりでした。
「電話をかけてきた人物は、パスキーや多要素認証（MFA）、シングルサインオン（SSO）の設定をすぐに更新しないと業務に支障が出ると説明し、緊急性を演出します」と研究者らは述べています。従業員にはMicrosoftのサインイン画面そっくりに作られたページへのリンクが送られます。
「パスキーをテーマにした誘導が頻繁に使われているものの、パスキーの登録自体が攻撃者の本当の狙いであるケースは多くありません。むしろパスキーというストーリーは、被害者をAiTM（Adversary-in-the-Middle）フィッシングやデバイスコード認証フローへ誘導するための説得力のある口実として使われています」とMicrosoftは指摘しています。
攻撃者は接触前に下調べを行っているようで、ビジネス向けSNSなどの公開情報から従業員や組織構造に関する詳細を収集しています。すでに侵害済みの従業員アカウントを使い、Microsoft Teams経由で同僚に同じパスキー関連の誘い文句を送るケースも確認されており、この手口によって相手が反応する可能性が高まります。
「よく見られる手口の一つが、汎用的なドメインを登録し、標的組織の名前をサブドメインに埋め込むというものです。一見見慣れたURLに見えるよう作られています。同じ組織に対して複数のドメインが作成されることもあり、攻撃者は必要に応じてインフラを使い回すことができます」と説明しています。
侵害されたアカウントが持続的な足がかりに
攻撃者はいったんアカウントに侵入すると、そこに居座り続けることを最優先します。侵害した本人になりすまして自分の電話番号や認証アプリ、あるいはソフトウェア型のワンタイムパスワードトークンを登録し、以後のログイン認証を実際のユーザーの関与なしに承認できるようにします。
Microsoftはこれを「永続的な足がかりの仕組み」と呼んでいます。攻撃者が登録したMFA手段さえ残っていれば、最初に盗んだトークンやセッションの有効期限が切れた後も生き残る仕組みです。
Microsoft Graphの不正利用は検知が難しい
足がかりを確保した攻撃者は、Microsoft 365テナント全体のユーザー、ファイル、メール、権限を結びつけるAPIであるMicrosoft Graphに矛先を向けます。これを使ってアカウントやグループ、管理者権限、登録済みの認証方法、連携アプリケーションを列挙するのです。
Microsoftはこの段階が最も検知が難しいと指摘しています。/usersや/sitesといったエンドポイントへの単発のリクエストは、通常の企業内トラフィックと見分けがつきません。同一のIDやアクセストークンが、ユーザー・グループ情報からメール・ファイルの中身へと段階的に、複数カテゴリーのGraphクエリを次々と実行して初めて、不審な兆候として浮かび上がります。
「この攻撃は、個々のAPIリクエストを単独で見るのではなく、行動の推移やイベント間の相関関係に重点を置いてGraphの活動を総合的に評価する必要があることを如実に示す好例です」
データ窃取は利用量のしきい値を下回るよう調整
最終段階はデータ収集です。MicrosoftはSharePoint OnlineやOneDrive for Businessから大量のファイルアクセスとダウンロードを観測しており、一部の侵入ではExchange OnlineからREST API経由で取得したメールにも及んでいました。
研究者らはこのペースを「抑制されつつ持続的」と表現しています。侵入によっては数時間、別の侵入では数日間にわたって続き、攻撃者は1時間あたり1,000件未満のファイルまたはメールに活動量を抑えていました。このしきい値によって、トラフィックは通常のアカウント利用に紛れ込み、利用量アラートを発動させることなく大量のデータを抜き取ることができるのです。
このトラフィックにはpython-httpxというユーザーエージェントが付与されていることが多く、これはフォルダを一つずつクリックして回るような手動操作ではなく、自動化された大量アクセスを示す痕跡です。ただしMicrosoftは、この点だけを過度に重視しないよう注意を促しています。
「ユーザーエージェントだけを悪意あるものとみなすべきではありません」と研究者らは述べています。「そうした活動は、データ量や影響を受けたID、発信元インフラ、事前の偵察活動、ID侵害の証拠といった、より広い文脈の中で評価すべきです」
Microsoft Threat Intelligenceは、この初期アクセス活動をStorm-3121やStorm-3032など複数の脅威アクターによるものと見ています。Storm-3121はShinyHuntersやFalconの恐喝活動に関与しています。Storm-3032はBlackFileグループから派生し、現在はHelixという名前で独自の恐喝活動を展開しています。
これらの脅威に対処するため、Microsoftは条件付きアクセスによるフィッシング耐性のあるMFA、新規アプリ同意への管理者承認、Exchange・SharePoint・権限を持つGraphアプリケーションへのサインイン前の管理対象デバイス要件など、通常の防御策を講じるよう推奨しています。
翻訳元: https://www.helpnetsecurity.com/2026/09/10/microsoft-365-social-engineering-personal-phones/
