Exchange Onlineと連携するMicrosoft 365サービス、とりわけOutlookで発生している世界規模の障害は、サイバー攻撃が原因ではないとみられています。しかし、セキュリティチームはこの障害に便乗した脅威への警戒を強める必要があります。
この巨大IT企業が復旧作業に追われるなか、サイバー犯罪者はこの混乱につけ込む構えです。M365サービスに何とか再接続したい個人や従業員をだますため、巧妙なフィッシングキャンペーンや偽のサポート詐欺を大量に仕掛けてくるとみられます。
デジタルフォレンジック企業BinalyzeのマーケットストラテジーVPであるMarie Wilcox氏は、「今回の障害はサイバー攻撃が原因ではありませんが、だからといって攻撃者がこの機会を見逃すわけではありません」と述べました。
11月13日の続報で、オーストラリアのサイバーセキュリティ国家調整官Michelle McGuiness氏は、サイバー犯罪者が不確実な状況に乗じようとすることが多いとして、警告しました。同氏は「警戒を怠らず、一方的な連絡には注意してください」と呼びかけています。
脅威アクターは、この混乱の時期に人々をだますため、Microsoftを装ったフィッシングメッセージを送り始める可能性が高いとみられます。
ESETのグローバルサイバーセキュリティアドバイザーであるJake Moore氏はInfosecurityの取材に対し、この種の障害はサイバー犯罪者にとって格好の口実になると指摘しました。組織に対して、ITサポートを装った標的型の電話をかけてくる恐れがあるといいます。
同氏は次のように述べています。「影響を受けた従業員は、文字どおり電話が鳴るのを待っています（あるいはSNSを必死にスクロールしています）。たった1人の従業員が端末へのアクセスを許可するだけで、脅威アクターは侵入し、権限を昇格させ、システムを荒らし回ることができます」
Sophos Counter Threat Unitの主任脅威リサーチャーであるAiden Sinnott氏は、銀行や小売店など影響を受けた企業は特に警戒すべきだと述べました。
「緊急の対応や個人情報の共有を求める要求には注意し、メッセージやメールで送られてきたリンクはクリックしないでください」と同氏は話しています。
Microsoftは、脅威アクターがフィッシングキャンペーンで最も多く悪用するブランドの一つです。セキュリティ企業のCheck Pointは10月の更新情報で、2026年第3四半期にMicrosoftがブランドフィッシングの試行全体の33%を占めたと指摘しました。2026年第2四半期の23%から上昇し、他のどのブランドのシェアと比べても約4倍に達しています。
関連記事：サイバー攻撃の初期侵入手法はフィッシングが首位、ハッカーは回避技術に磨き
防御側は障害をセキュリティインシデントとして扱うべき
Binalyzeのウィルコックス氏によると、多くのセキュリティチーム自身も、問題の防止に頼るツールからロックアウトされている可能性があります。たとえばMicrosoft Defender XDRや、Outlook経由で通知される重要なアラートです。
同氏は、メールサービスが復旧して従業員がその日の未処理分を片付け始めるころが、最も危険だと指摘しました。Microsoftから届いたように見えるメッセージ、とりわけ偽のセキュリティ更新を信用しやすくなるためです。
障害の間は、通常どおりアラートが監視されていなかったため、不審な動きが見過ごされやすくなります。
同氏は「不審なサインインや、受信トレイの新しい転送ルールは、誰もがメールの復旧に気を取られている間は見落としやすいものです」と述べています。
さらに、Wilcox氏は次のように助言しました。「セキュリティチームは、障害が発生していた期間を、それ自体が一つのインシデントであるとみなすのが最も賢明です。つまり、可視性が失われていた時間帯のサインイン、メールボックスルール、アカウントの変更、エンドポイントの動作を洗い直すということです。その際、停止していたプラットフォームに頼らず、デバイスから直接証拠を収集してください」
本稿執筆時点で、Microsoftの最新の更新情報によると、影響を受けたインフラ全体で復旧作業が続いています。「安定化の兆しが見え始めていますが、サービス容量はまだ通常のレベルに戻っておらず、トラフィックを慎重に再導入している間は状態にばらつきがあります」としています。
画像クレジット：Mijansk786 / Shutterstock.com
翻訳元: https://www.infosecurity-magazine.com/news/microsoft-365-outage-security/
