Microsoft正規認証基盤を悪用した新型フィッシングの脅威と企業が取るべき対策

近年、サイバー攻撃の手口はますます巧妙化しています。特にフィッシング詐欺は、その手法を常に進化させ、企業のセキュリティ担当者を悩ませています。チェック・ポイント・リサーチ（CPR）がこのたび確認した新型フィッシングキャンペーンは、Microsoftの正規の認証基盤を悪用するという、これまでにない手口を用いており、従来のフィッシング対策では見破られにくいという深刻な課題を提起しています。

新型フィッシングの概要と企業が直面する課題

この新型フィッシングは、攻撃者が偽のMicrosoftサインインページを用いる従来の手法から一歩進んで、Microsoftの正規の認証フローそのものを悪用します。これにより、従業員が訓練を通じて身につけてきた不審なサインを見分ける多くの方法が機能しなくなり、フィッシングキャンペーンが検知をすり抜けるケースが発生しています。

攻撃者が狙うもの：Microsoft 365環境全体へのアクセス権

ユーザーがこのフィッシングによって権限を承認してしまうと、攻撃者が管理するアプリケーションは、被害者のMicrosoft 365環境全体にわたって動作できるようになります。具体的には、以下のような情報が攻撃者の手に渡る可能性があります。

メール: 被害者のメールボックスからの読み取り、検索、送信が可能になり、信頼された社内アドレスを踏み台にしたビジネスメール詐欺（BEC）に発展する恐れがあります。
ファイル: ユーザーが開く、ダウンロード、共有できるあらゆる文書にアクセスされます。
Teams: チャット、チャネルのメッセージ、共有された会話が盗み見られます。
SharePoint: ユーザーがアクセスできる社内サイト、ドキュメントライブラリ、社内コンテンツが閲覧されます。
OneDrive: ユーザー個人のクラウドストレージ内のデータが危険にさらされます。
カレンダー: 会議、招待、出席者情報が偵察や、説得力のある追撃の準備に悪用される可能性があります。

攻撃の手口と流れ

CPRは、2026年6月25日から7月第2週にかけて、世界の約120の組織を標的とした200通を超えるフィッシングメールを確認しました。これらのメールは、人事部門（HR）からのMicrosoft Teamsのタスク通知になりすまし、受信者を正規のMicrosoftサインインページへ誘導するものでした。

巧妙ななりすましメール

確認されたメールは、Microsoft Plannerのタスク割り当て通知を装っていました。送信者名は「There’s New Activity On Team」、件名は「HR@[company].com Sent 3 Messages Via Teams Chat」といった形式で、本文はTeamsのデザインを模倣し、「Payroll, Compensation + Benefits Update（給与・報酬・福利厚生の更新）」に言及。さらに「4 Overdue Employee Tasks（未処理の従業員タスク4件）」というカウンターで緊急性を演出し、クリックを促す仕組みです。本文中のリンクは、複数の行動喚起（CTA）ボタンを含め、すべて同じリダイレクト先へ誘導します。また、表示される送信者アドレスが標的自身の組織のものであるため、受信者本人が自分自身にメールを送ったかのように見えてしまう点も特徴です。

OAuth認可の悪用

攻撃の流れは以下の通りです。

ユーザーがリンクをクリック: 偽装ドメイン（look-alikeドメイン）ではなく、正規のlogin.microsoftonline.comのOAuth認可URLが表示されるため、不審に見えません。
サインイン: ユーザーはMicrosoftの正規のサインインページで認証を行います。
権限の承認: サインイン後、ユーザーは「権限を承認」または「組織を代表して承認」といった、許可を求めるプロンプト画面に進みます。この「OAuth認可」は、ユーザーが特定のアプリケーションに対し、自身のMicrosoftアカウントのリソース（メールやファイルなど）へのアクセスを許可する仕組みです。
攻撃者管理下のAWSへ転送: 承認すると、Microsoftは最初のリクエストで指定されたredirect_uri（リダイレクト先URL）へブラウザを転送します。このキャンペーンでは、転送先がMicrosoftではなく、攻撃者が管理するAWS API Gatewayのエンドポイントでした。
アクセス権の取得: 認可コード（またはトークン）がそのエンドポイントに渡され、攻撃者はそれと引き換えにアクセス権を取得します。アクセス範囲や影響の大きさは、付与された権限と承認したアカウントによって決まります。

この手口はすでに一般化しており、MITRE ATT&CKフレームワークにも登録され、追跡対象となっています。

標的となった組織の傾向

今回のキャンペーンは、世界の幅広い業種・国にまたがる組織を標的としました。

地域別の内訳（所在地を分類できた顧客）

北米: 98.3%
アジア: 0.9%
中南米（LATAM）: 0.9%

業種別の内訳（上位の業種）

産業・製造業: 39通（19.3%）、15組織
法務・専門サービス: 28通（13.9%）、21組織
非営利団体・協会: 22通（10.9%）、16組織
政府・公共部門: 18通（8.9%）、9組織
ヘルスケア: 14通（6.9%）、11組織

多様な業種が標的となっており、特定の業界に限定されない広範な脅威であることが示唆されます。

企業が取るべき対策

このような巧妙なフィッシング攻撃に対し、情報システム担当者やDX推進担当者は以下の対策を講じることが重要です。

リンクのホバー確認: クリックする前にリンクにマウスを重ね（ホバーし）、リンク先がメールで言及されているサービスと一致しているかを確認してください。異なるボタンが同じURLにつながっている場合は、特に注意が必要です。
送信者情報の確認: 送信者名、送信者アドレス、送信元ドメインが互いに一致しているかを確認してください。今回のキャンペーンでは、メールは受信者自身のメールアドレスから届いたように見える一方で、表示名はTeamsのアクティビティを装っていました。
なりすまし・改ざんの可能性を考慮: 社内アドレスから届いたように見える場合でも、表示名や送信者アドレスがなりすましや改ざんによるものである可能性を踏まえ、慎重に確認してください。
公式アプリからの直接アクセス: 少しでも不審に感じたら、メール内のリンクを使うのではなく、Teamsなどのアプリケーションを公式アプリから直接開いてください。
不審なメッセージの早期報告: 不審なメッセージに気づいた場合は、直ちにセキュリティチームに報告することが重要です。早期の報告により、セキュリティチームはアプリケーションを調査し、悪意のある同意（consent）を取り消し、影響を受けたアカウントを特定し、関連するキャンペーン活動をブロックできます。

このキャンペーンはすでに活動を終えていますが、攻撃者が従来のフィッシング対策を回避する手法を根本から変えつつあることを示す一例と言えます。

まとめ

Microsoftの正規認証基盤を悪用した新型フィッシングは、従来のセキュリティ対策では見破られにくい新たな脅威です。企業は従業員への継続的な教育と、上記のような具体的な確認手順の徹底を通じて、この種の巧妙な攻撃から自社の情報資産を守る必要があります。サイバーセキュリティの脅威は常に進化しているため、最新の脅威情報に基づいた対策の更新が不可欠です。

本プレスリリースは、米国時間2026年7月29日に公開されたブログ記事をもとに作成されています。詳細は以下のリンクで確認できます。