TokyoBlackHatNews

タグ: 条件付きアクセス

gbhackers.com

Microsoft 365のトークンリプレイ攻撃、パスワードなしでハッカーが業務メールにアクセス

ハッカーが盗み出したサインインセッションを再利用（リプレイ）し、79の組織のMicrosoft 365環境に侵入しました。被害者のパスワードを知らなくても、業務アカウントに入り込める手口です。Ethicalhacking tools セキュリティ企業Huntressによると、このキャンペーンは2026年7月14日から
helpnetsecurity.com

Microsoft 365アカウント、79組織で侵害　パスワード不要で乗っ取り

Huntressによると、攻撃者は10週間にわたり、盗み出したMicrosoft 365のサインインセッションを使い回す手口で、79組織のメールアカウントに侵入しました。さらに、受信トレイルールを隠れて設定し、被害者が自分のメールの一部を見られないようにしていました。 研究者らは、2026年7月14
infosecurity-magazine.com

Microsoft 365アカウントを狙う大規模な「トークンスプレー」攻撃、メール侵害を誘発

新たに発見された大規模なビジネスメール詐欺（BEC）キャンペーンが、Microsoft 365環境を標的にしていたことが分かりました。この攻撃では、世界中の企業ネットワークに対して数十万回ものアクセス試行が行われました。 サイバーセキュリティ企業Huntressの研究者が特定したこのキャンペーンは、偽のサインイ
cyberpress.org

「GhostCode」、Microsoftのデバイスコードを悪用してM365トークンを窃取し不正デバイスを登録

eSentireの脅威対応チーム(TRU)は、Microsoftの OAuth 2.0 デバイス認可グラントフローを悪用し、M365アカウントを乗っ取る未確認のデバイスコードフィッシングキット「GhostCode」を発見しました。このキットはプライマリリフレッシュトークン(PRT)を発行し、被害者がMFAを完了してか
meterpreter.org

パスキーを悪用したフィッシング攻撃、Microsoft Identity Cloudを侵害

パスキーは本来、フィッシングを根絶する究極の対策として考案されたものでした。ところが脅威アクターたちは、この技術に思いもよらぬ「裏の使い道」を見出しています。現在、攻撃者はITサポートを装って従業員に電話をかけるだけで攻撃を開始できます。パスキーや多要素認証(MFA)の設定が急務であるとでっち上げ
techradar.com

Microsoft 365ユーザーを狙う2つの大規模脅威キャンペーン – 偽のIT担当者からの電話とフィッシングメールが世界中のユーザーを標的に

Microsoft 365ユーザーがBigBear 2.0とAiTMプロキシを使ったフィッシングキャンペーンの標的に攻撃者は電話・Teams・メールでIT担当者になりすまし、認証情報を盗みMFAを回避CloudSEKは5,000件以上の盗難記録を追跡、Arctic Wolfはフィッシング耐性MFAと条件付きアクセ
gbhackers.com

EvilTokensがMicrosoftのデバイスコードを悪用、パスワードを盗まずにアカウントを乗っ取る

EvilTokensは、Microsoftのデバイス認可フローを悪用して有効なMicrosoft 365トークンを取得する手口で、フィッシング・アズ・ア・サービス(PhaaS)を認証情報窃取の枠を超えて拡張しています。 被害者は正規のMicrosoftサインインとMFA(多要素認証)チャレンジを完了させているにもかか
bleepingcomputer.com

パスワードスプレー攻撃が155倍に急増、ハッカーがMFAの隙を突く

Huntressは2026年上半期にパスワードスプレー攻撃が155倍に増加したことを観測しました。ブルートフォース自体は目新しい手口ではありませんが、今回の急増を後押ししている工夫は新しいものです。 この急増の大きな要因となったのが、Microsoftの Azure CLI(管理者がAzureおよびEntraのリソー