Microsoft 365のDirect Send機能を悪用するフィッシングキャンペーンが、米国東部時間の営業時間に合わせて活動していることが確認されました。
このキャンペーンはKnowBe4のThreat Labチームによって発見されたもので、2026年7月から8月にかけてDirect Send機能を悪用した29,785件のフィッシングメールが確認されています。
研究者たちは、その配信パターンに「明らかに人間らしい特徴」があると指摘しています。攻撃者は月曜日から火曜日にかけて、米国東部時間の営業時間中に特に活発に活動しており、送信量は正午直前にピークを迎えた後、いったん落ち込み、午後2時（東部標準時）頃に最高点に達していたということです。
攻撃者がMicrosoftのDirect Send機能を悪用
Direct Sendは、プリンターやスキャナーなどのデバイス、あるいはレガシーアプリケーションが専用アカウントを持たずにメールを送信できるようにする、Microsoft 365の正規機能です。
攻撃者はこの機能を悪用し、人事部や経理部、管理者など信頼できる社内アドレスから送信されたように見せかけたメールを送りつけていました。
こうしたDirect Send攻撃を使えば、従業員のアカウントを侵害したり認証情報を窃取したりすることなく、悪意あるペイロードを拡散できます。また、標的組織のExchange Online MXエンドポイントに直接接続することで、通常のメールセキュリティゲートウェイを迂回することも可能になります。
「認証チェックによって何らかの異常が検知される場合もありますが、DMARC（Domain-based Message Authentication, Reporting and Conformance）を監視モードで運用している組織では、それでもメッセージが配信されてしまう可能性があります」と、9月10日に公開されたKnowBe4のレポートは述べています。
KnowBe4の研究者によると、フィッシングメールに分類されたメールの約35%に添付ファイルが付いており、そのほぼすべてが脅威として分類されたということです。
内容としては、偽の文書提出依頼、社内ボイスメール通知、請求書・支払い承認、偽のOneDriveファイル共有などが確認されています。
さらに、悪意あるメールのうち4023件は、異なるドメインを指す返信先アドレスを使用しており、従業員からの返信が直接攻撃者へ届く仕組みになっていました。
ある事例では、1回の送信でフィッシングメールが900人の受信者に届いていました。
こうしたフィッシングキャンペーンの標的にならないよう、KnowBe4の研究者はExchangeヘッダーの「X-MS-Exchange-Organization-AuthAs: Anonymous」を確認することを推奨しています。これは、未認証の配信経路を通じてメールが届いたことを示すサインです。
セキュリティチームが取れるその他の対策としては、DMARCポリシーをp = noneからp = rejectに変更して厳格に運用し、自社ドメインを騙るなりすましメールをブロックすることが挙げられます。
また、Exchange Onlineコネクタを通じて正規の送信元を制限し、承認済みのIPアドレスのみを許可することや、不要であればDirect Sendの経路自体を遮断することも重要です。さらに、DKIM（DomainKeys Identified Mail）署名を有効にすることで送信メールの正当性を検証しやすくなり、DMARCが不正なメッセージを検知・拒否するために必要な情報を得られるようになります。
画像提供: gguy / Vladimka production / Shutterstock.com
翻訳元: https://www.infosecurity-magazine.com/news/hackers-us-business-hours-m365/
