新種のフィッシングキットは、Microsoftの正規デバイス認証フローを悪用して認証トークンを窃取し、攻撃者が管理するデバイスを登録することで、被害者のMicrosoft 365環境への持続的なアクセスを獲得します。
Microsoft 365のユーザーが、正規のデバイス認証フローの弱点を突く新種のフィッシングキット「GhostCode」によってアカウントへのアクセス権をだまし取られる被害が発生しています。eSentireの脅威対応部門がこのキャンペーンを特定したのは、2026年8月下旬のことでした。
このキットが悪用するのは、Microsoftの「OAuth 2.0デバイス認証グラントフロー」です。これは本来、IoTデバイスやスマートTV、プリンターなど、通常のブラウザベースのログインに対応しにくいデバイスからの認証を可能にするために設計された正規の仕組みです。デバイスコードフィッシングと呼ばれるこの手法は、これまでにも複数の攻撃で確認されています。このフローでは、デバイス側にコードが表示され、ユーザーが別のデバイスのブラウザでそのコードを入力することで認証を完了する仕組みになっています。
GhostCodeはこうしたデバイスの一つになりすまし、MicrosoftのOAuthにデバイスコードを生成させた上で、被害者にそのコードをMicrosoftの認証ページに入力するよう仕向けます。被害者はその後、通常どおりサインインし、多要素認証を完了させますが、実際には攻撃者が管理するデバイスに対する認証を行ってしまっており、攻撃者はその結果生成される認証トークンを手に入れることになります。これらのトークンは、攻撃者が管理するデバイスの登録や追加の認証情報の取得、そして被害者のMicrosoft環境内での持続的な足場の確立に利用されます。
eSentireが確認したキャンペーンでは、攻撃者はソーシャルエンジニアリングを駆使し、まずウェブの問い合わせフォームを通じて調達担当者になりすまし、その後NDA(秘密保持契約)をテーマにしたHTMLファイルへとやり取りを誘導していました。被害者がこのファイルを開くと、デバイスコードフィッシングのページへと誘導される仕組みです。
窃取したトークンによる持続的アクセスの確立
GhostCodeが認証成功後に行う活動は、盗み取ったアクセス権をMicrosoft環境内での持続的な足場へと変換することに集中しています。アクセス権が付与されると、eSentireは78秒間のうちに、Microsoft Intuneの登録、Device Registration Service、Azure Active Directory、Microsoft Graphに関わる9件のAPI呼び出しが成功したことを記録しています。
この間に3台のデバイスが、認証成功から28秒後、53秒後、77秒後という間隔で登録されており、eSentireはこの一連の流れが自動化されたものだと指摘しています。
3台目のデバイスは、Microsoftのクラウドベースのデバイス管理サービスであるIntuneへの登録にも成功していました。eSentireによれば、このIntuneへの登録はトークンが失効した後も存続しており、攻撃者が作成したデバイスは、明示的に削除されるまでテナント内に残り続けていたということです。
攻撃者はさらに、プライマリリフレッシュトークン(PRT)も入手していました。eSentireはこれを、Microsoftのアイデンティティ環境において「最も強力な」認証情報の一つだと表現しています。
eSentireは次のように述べています。「デバイスコードの悪用によってPRTを入手すれば、攻撃者はそのPRTの有効期間中、事実上SSOと同等のアクセス権を被害者のMicrosoft 365環境全体に対して得ることになります。これには、準拠デバイスを要求する条件付きアクセスポリシーで明示的に保護されていないあらゆるサービスが含まれます」。さらに、このトークンはデフォルトで14日間有効であるとも付け加えています。
攻撃者はまた、複数の回避テクニックも駆使していました。誘導用HTMLコードへの水増しや難読化、リダイレクトの暗号化、ボット検知、そしてCloudflare Turnstileを用いてセキュリティツールをフィッシングページから遠ざける手法などが確認されています。
防御側が取るべき対策
こうした攻撃から身を守るため、eSentireの研究者は条件付きアクセスによってMicrosoftのデバイスコード認証フローを制限し、必要のないユーザーについては無効化することを推奨しています。
また、単一の非対話型セッションから複数のデバイス登録が行われていないかDevice Registration Serviceを監視すること、そしてデバイスコード認証の後にユーザーエージェント「python-requests」による活動が見られないか注意することも助言しています。
Entra IDにおいてGhostCodeの命名パターンに一致するデバイスがないか監査し、デバイスコード認証の成功とその後のPythonベースのリクエストとを突き合わせることで、進行中の攻撃を検知できる可能性があると同社は述べています。eSentireは、このキャンペーンに関連する侵害指標(IOC)の一覧を公開し、検知の一助としています。
GhostCodeは、MicrosoftのOAuth認証フローを悪用して標的を狙う、増加を続ける攻撃事例の一つに加わりました。最近の例としては、フィッシング・アズ・ア・サービス(PhaaS)キットの「EvilTokens」を用いた攻撃、KnowBe4が2026年2月に報告したキャンペーン、そして2026年12月に確認された、金銭目的の攻撃者と国家支援型の攻撃者の双方を含む複数のクラスターによる活動が挙げられます。
この記事は、Computerworldに最初に掲載されたものです。
Shwetaは2017年からエンタープライズテクノロジーについて執筆しており、直近ではCSO onlineでサイバーセキュリティを取材しています。ランサムウェアからゼロトラストアーキテクチャまで、複雑なトピックを専門家にも一般読者にもわかりやすく解説することを得意としています。Asian College of Journalismでジャーナリズムの大学院ディプロマを取得しており、サイバー脅威の解読に追われていない時は、フィクションの読書や映画鑑賞、新しいレシピに挑戦することを楽しんでいます。
