要点
- 攻撃者は Microsoft 365 にログインした後に渡されるトークン（いわば通行証）を盗んで使い回しており、Huntress は79の組織でこの攻撃への対応にあたったと報告した。
- 盗まれたのはパスワードではなくこの通行証なので、MFA（パスワードのほかにスマホなどでも本人確認する仕組み）を入れていても防げなかった。
- 侵入した後、攻撃者は自分の端末や認証アプリを登録して居座り、給与や銀行に関するメールを利用者から隠していた。
何が起きたか
セキュリティ企業 Huntress は、2026年10月22日（米国時間）に報告を公開した。攻撃を観測したのは、2026年7月14日から9月22日までの約10週間だ。この間に、Microsoft 365 への成功したサインインが少なくとも497件あった。失敗したログインの試行は20万件を超えた。攻撃者が不正に登録した端末は、少なくとも48台あった。「97のアカウントが侵害された」と報じた媒体もあるが、この数字は Huntress の報告の本文には見当たらない。報告では全体の数字が図にまとめられており、その図の中身は確かめられなかった。
Microsoft 365 では、パスワードと MFA の確認が済むと、トークンと呼ばれるデータが発行される。いわば通行証だ。これがあれば、しばらくはパスワードも MFA も求められない。
Huntress の報告では、攻撃者がトークンを手に入れたやり方は1つではなかった。たとえば、別の端末でログインするための正規の仕組み（デバイスコード）を悪用し、利用者にコードを入力させる手口があった。正規のログインの途中で、利用者をだます手口もあった。偽のログイン画面を間にはさむ手口（AitM フィッシングと呼ばれる）もあった。この場合も、ログインそのものは本物で成功する。攻撃者が狙うのは、成功した後に発行される通行証のほうだ。
Huntress は、盗んだトークンを多くの組織で一斉に使うこのやり方を「token spraying」と呼んだ。トークンを使う通信は、ドイツのホスティング事業者のサーバーから来ていた。
侵入した後、攻撃者は次のことをしていた。
- 自分の端末を、会社のアカウントを管理する仕組み（Entra ID）に登録した。
- MFA の設定まで入れ替えられた組織が19あった。元の認証方法が消され、別の方法が登録されていた。どれも、攻撃に使われたアドレスから初めてサインインしてから3時間以内だった。
- 「.」や「s」のような、ごく短い名前のメールの振り分けルールを作った。そのルールで、メールを目立たないフォルダへ移した。
- 給与・振込・銀行に関するメールを隠し、外部の会計士に給与関係のメールを送った。会計士からの返信も隠していた。
- 数百の外部の宛先へ迷惑メールを送った。
条件付きアクセス（ログインの場所や端末を見て、許可するか止めるかを決める Entra ID の機能）が効いた組織もあった。9月には、1つのアドレスからの1,052件のサインインが止められた。止めたのは、どれも4つの組織だった。
日本の利用者への影響
Huntress の報告には、被害を受けた組織の国や業種が書かれていない。日本の組織が被害を受けたかは分からない。この手口は国を選ばない。「MFA を入れたから安全」と考えている組織ほど、見落とすおそれがある。給与や振込のメールを狙う点は、日本でも起きている、取引先や社内の人を装ってお金をだまし取るメール詐欺（ビジネスメール詐欺）と重なる。
今すぐやること
- ログインの記録を確かめる。 情報システムの担当者が、ホスティング事業者や VPN など、社員がふつう使わない場所からのログインがないかを調べる。報告に出てくる送信元は「技術者向けの詳細」にまとめた。
- 「止めた」という記録も調べる。 条件付きアクセスの判定は、パスワードなどの確認が済んでから行われる。つまり、止められたログインの記録は、正しいログイン情報が攻撃者に渡っている手がかりになる。そうしたアカウントは、調べる対象に加える。
- 見覚えのない登録がないかを確かめる。 最近登録された知らない端末、短い時間で入れ替えられた MFA の設定、ごく短い名前のメールの振り分けルールを探す。端末を消す前に、本人のものでないかを確かめる。
- 見つかったら、まとめて手当てする。 攻撃者が登録した端末や認証アプリは、パスワードを変えても残る。やることは、それらの登録の削除、ログイン中の状態の無効化、パスワードの変更の3つだ。1回の対応で全部済ませる。
- ログインのルールに抜け穴を残さない。 Huntress は、MFA を求める（または止める）ルールを、条件を付けずに全員・全アプリに当てるよう勧めている。デバイスコードの仕組みを業務で使わないなら制限する。利用者が自分でアプリに権限を与えられる設定も止める。
背景
MFA が守るのは、ログインの入り口だ。入り口を通った後に使われる通行証は、MFA の守りの外にある。通行証を持っていれば、入り口をもう一度通る必要はない。だから攻撃者は、入り口を破るより、通行証を手に入れるほうを選ぶ。
この手口は新しくない。Microsoft は2022年に、偽のログイン画面で1万を超える組織を狙った攻撃を報告している。そこからメール詐欺につながる流れも、今回と同じだった。今回の報告で目立つのは、盗んだトークンを多くの組織で一斉に試した規模だ。さらに、端末の登録と MFA の入れ替えで、侵入した後も長く居座ろうとしていた。MFA は今も要るが、それだけでは足りない。ログインできる場所と端末を絞り、ログインの記録を見続けることが要る。
技術者向けの詳細
- 送信元: 1337 Services GmbH（AS210558）の 193.26.115.0/24。このうち 193.26.115.72 は9月11〜15日に使われ、1,052件のサインインが条件付きアクセスで止められた（止めたのは4つの組織）。ほかの IOC（侵入された跡）として、185.238.2.195（AitM の中継）と 167.148.41.96（給与関係のルールを作った Interserver のアドレス）がある。全体は報告の IOC の表を参照。アドレスは入れ替えられていたので、1つの IP を遮断するだけでは足りない。
- サインインログ: Entra 管理センターの「監視と正常性」→「サインインログ」。ホスティングや VPN からのもので、User-Agent が
nodeや中身の無いMozilla/5.0のものに注意する。 - エラーコード 53003（BlockedByConditionalAccess）: 漏れたログイン情報が使われたアカウントの手がかりになる（理由は「今すぐやること」の2）。止めた記録として流さず、調べる対象の一覧に入れる。
- 端末名: 「DESKTOP-」の後に大文字の16進数8文字（例: DESKTOP-54521F46）。「デバイス」の一覧と監査ログで、ホスティングの IP から登録されたものを探す。
- MFA: 認証方法に関する監査ログを時刻順に並べ、削除のすぐ後（数分以内）に新しい登録が来ているアカウントを拾う。登録された方法が本人のものかを確かめ、知らないものは外す。Huntress が示した7月21日の事例では、攻撃者が有効にした認証アプリに「iPhone 13」という名前が付いていた。
- 受信トレイルール: Exchange Online PowerShell の
Get-InboxRule -Mailbox <ユーザー>で一覧を出す。まず、名前が1〜3文字か記号だけのもの（「.」「s」「sss」「d」など）に注意する。給与や銀行の語を条件にしたものや、RSS Feeds・RSS Subscriptions・Conversation History へ移すものも疑う。 - 手当て: セッションの取り消し、パスワードのリセット、不正な端末と MFA の方法の削除をまとめて行う。Huntress によると、発行済みのアクセストークンは期限（約90分）まで使える。
- 条件付きアクセス: Huntress は、対象を絞らないポリシーを勧めている。利用者・クラウドアプリ・クライアントアプリの種類をどれも「すべて」にし、条件を付けずに MFA の要求か遮断を当てる。認証フローの条件でデバイスコードフローを制限する。ユーザーによるアプリへの同意を無効にする。トークンをデバイスに紐づける「トークン保護」も検討に値する（Huntress の報告は、この機能には触れていない）。