Microsoft 365アカウントを狙う大規模な「トークンスプレー」攻撃、メール侵害を誘発

新たに発見された大規模なビジネスメール詐欺（BEC）キャンペーンが、Microsoft 365環境を標的にしていたことが分かりました。この攻撃では、世界中の企業ネットワークに対して数十万回ものアクセス試行が行われました。

サイバーセキュリティ企業Huntressの研究者が特定したこのキャンペーンは、偽のサインインページ、デバイスコードフィッシング、盗まれたセッショントークン、ソーシャルエンジニアリングを組み合わせたものです。BECBEC攻撃の下地作りを狙っていたとみられます。

研究者らは10月22日に公開したブログ記事で詳細を報告しています。調査のきっかけは、2026年7月から9月にかけて、Huntressの顧客79組織で発生した一連の不審な「サインインイベント」でした。

調査の結果、世界規模のキャンペーンが明らかになりました。攻撃者は企業のMicrosoft 365環境に対し、中間者攻撃（AiTM）を仕掛けていました。この手法を使えば、アカウントのパスワードを盗まなくても、アカウントを乗っ取れます。

攻撃者は、アカウントへのアクセスに使われるログイントークンを盗むことで、これを実現しました。このトークンは、正規のログインページが使われ、多要素認証（MFA）による本人確認が完了した後に生成されます。攻撃者にとって重要なのは、トークンを持つ者は再度MFAを通過する必要がないという点です。

攻撃者は盗んだトークンを自らの端末から再利用（リプレイ）し、Microsoft 365サービスに対する自動サインインを試みました。

数分で侵害が成立

この「トークンスプレー」攻撃は、世界中のMicrosoft 365環境を探っていました。Huntressの研究者は、キャンペーンの背後にいる攻撃者が少なくとも20万回のログイン試行を行い、うち497回のサインインに成功したことを確認しています。多くのケースで、攻撃者はトークンを盗んでからわずか数分で環境内に入り込んでいました。

攻撃者はこの初期アクセスを利用し、Microsoft 365環境の制御設定を変更して、将来のアクセスを容易にしようとしました。

例えば、複数のインシデントで、攻撃者は被害者のMFA設定を消去し、自身の電話をアカウントに追加していました。これにより、攻撃者は環境内で自分の認証アプリを使えるようになるため、単純なパスワードのリセットでは締め出せなくなります。

ほかにも、侵害したネットワークに居座り続けるため、次のような手口が使われました。被害者の受信トレイに隠しメールルールを仕込み、特定の連絡先からのメッセージを目につかない場所へ静かに移動させます。さらにEntraの設定を改ざんし、自分たちのデバイスを正規登録済みのデバイスとして追加しました。将来、必要に応じて追加のトークンを要求するためです。

攻撃者が、侵害したメールボックスから給与関連のフィッシングメールを送信していたことも確認されました。正規のメールアカウントから依頼を送れば、ビジネスメール詐欺が成功する可能性は高まります。ただし、今回のケースでは、攻撃者は狙った被害者から支払いを受け取れなかったようです。

このキャンペーンの性質上、攻撃者はネットワーク上で容易に永続性を確保できます。しかしHuntressは、こうしたキャンペーンのリスクを減らすために取れる対策があると強調しています。

Huntressは次のように述べています。「条件付きアクセスポリシー（CAP）は、適切に実装されていれば、MFAでは埋められないセキュリティ上の隙間を補うことができます。CAPを設定する企業は、すべてのユーザー、すべてのクラウドアプリ、すべてのクライアントアプリの種類に対して、無条件でMFAを必須（またはブロック）にすべきです」

トークンリプレイによる侵害が疑われる場合、企業はセッションを失効させてパスワードをリセットすることが推奨されます。あわせて、Entraデバイスド MFA方式の監査を実施し、受信トレイのルールを見直して、変更された箇所がないか確認する必要があります。