N0vaフィッシュキット、Microsoftログインを悪用して北米・欧州を標的に | eSecurity Planet

本物のMicrosoftサインインページであっても、攻撃者に制御されたセッションにつながる可能性があります。N0vaフィッシュキットはデバイスコード認証を悪用し、被害者が多要素認証(MFA)を完了した場合でもアクセストークンとリフレッシュトークンを取得します。

ANY.RUNは2026年9月にN0vaを公表し、政府機関、テクノロジー企業、コンサルティング会社、医療機関など、北米と欧州にまたがる標的の存在を観測したと報告しました。このキャンペーンは、複数のクラウドテナント、拠点、法域にまたがってMicrosoftのIDを管理する可能性のある企業を含んでおり、一貫したID監視とアクセス制御の必要性を高めています。

N0vaによるMicrosoftデバイスコード認証の悪用手口

ANY.RUNはN0vaフィッシュキットの分析の中で、Microsoft Security、Teams、SharePoint、OneDrive、DocuSign、Google Drive、Dropbox、Zoom、Adobe Signになりすます誘導手口を記録しました。また、攻撃インフラは侵害された正規Webサイト、Cloudflare Workers、Linode Object Storageに分散配置されていることも確認しています。

N0vaは認証リクエストを開始し、被害者にMicrosoftの正規サインインインフラを通じてそのリクエストを完了させるよう仕向けます。被害者は攻撃者が開始したセッションを承認する形でMFAを完了してしまうため、結果として有効なアクセストークンとリフレッシュトークンが攻撃者の手に渡ることになります。同様の攻撃は、Microsoft 365アカウントを狙うデバイスコードフィッシングの増加という、より広範な傾向を後押ししています。

Microsoftも同様の認証上の弱点について、2026年4月の別のキャンペーンに関する文書で報告しています。攻撃者は被害者を正規のMicrosoft認証プロセスへと誘導し、サインイン後に有効なトークンを取得していました。

さらにANY.RUNは、N0vaがトークン交換とデバイス登録を利用し、プライマリリフレッシュトークンによるシングルサインオンアクセスの確立を試みていることも確認しています。盗まれた、あるいは攻撃者が不正に取得したトークンは、悪意ある活動を通常のアカウント利用のように見せかけることがあり、悪意あるMicrosoft 365ログインが正規のトラフィックに紛れ込むという課題と同様の性質を持っています。

デバイスコード悪用とトークン再利用への対策

MicrosoftはConditional Accessガイダンスの中で、デバイスコードフローを可能な限り全面的にブロックし、例外は文書化された利用ケースに厳しく限定することを推奨しています。

セキュリティチームは、以下の7つの対策によってリスクを低減できます。

• デバイスコード認証の監査と制限。正当な依存関係を洗い出し、例外の範囲を厳格に絞り込みます。
• 不審な認証活動の監視。想定外のデバイスコードサインイン、見慣れないアプリケーション、不自然なアクセス元、特権アカウントの活動を調査します。
• 高リスクアカウントの認証強化。パスキーやFIDO2セキュリティキーを利用しつつ、フィッシング耐性のある認証だけでは不正な認可リクエストを防げないため、デバイスコードの制限も併せて維持します。
• 対応環境ではToken Protectionを利用。MicrosoftのToken Protection機能により、対応アプリケーションおよびデバイスに対してデバイス紐付けのサインインセッショントークンを要求できます。
• リスクベースのアクセス制御を適用。Conditional AccessとIDリスクシグナルを活用し、不審な認証には追加の確認やブロックを課します。
• 侵害されたIDへの対応はパスワードリセットにとどめない。リフレッシュトークンの失効、再認証の強制、アカウントおよびデバイスの変更履歴の確認を行い、即時の封じ込めが必要な場合はアカウントを無効化します。
• トークン窃取を想定したインシデント対応計画の訓練。トークンの失効、IDログの確認、アカウントの封じ込め、SOC・IAM・メール・クラウド各チーム間の連携を実地で訓練します。

攻撃者はセッショントークンや認証ワークフローを標的にする動きを強めており、ログイン後のトークン活動の監視は今や重要な取り組みとなっています。

2026年7月1日以降、新規に作成されたEntraテナントではMicrosoft Security Defaultsによりデバイスコードフローがブロックされています。N0vaは、ユーザーが誤ったセッションを承認してしまった場合に、正規の認証プロセスがどのように悪用されうるかを示す事例であり、防御側は認証リクエストそのものだけでなく、その後に続くトークンの活動も検証する必要があります。

関連記事: 別のキャンペーンも、異なる角度から同様のID保護上の課題を浮き彫りにしています。BigBear 2.0は数百の標的組織にわたり、認証済みのMicrosoft 365セッションを窃取しており、MFA成功後に何が起きるかを監視する必要性をあらためて示しています。