マイクロソフト認証への新たなフィッシング攻撃の実態とは

フィッシング攻撃の新たな手口

チェック・ポイント・リサーチ（CPR）によると、最近Microsoftの認証基盤を悪用した新しいフィッシングキャンペーンが確認されました。従来の手法に比べて一段と巧妙化しており、企業のセキュリティ対策が影響を受ける事例が増えています。この攻撃は、従業員が訓練を受けても見分けがつかない可能性が高いため、特に注意が必要です。

攻撃の実態

このフィッシングキャンペーンは、2026年の6月25日から7月第2週にかけて行われ、約120の組織から200通以上のフィッシングメールが確認されました。それらのメールは、人事部門が送信したMicrosoft Teamsからのタスク通知を装っています。実際に、このメールに含まれるリンクをクリックさせることで、受信者を正規のMicrosoftサインインページへ誘導し、そこで権限を付与させています。これにより、攻撃者は悪意のあるアプリケーションへのアクセスを得ることができるのです。

具体的な攻撃手法

攻撃者はMicrosoft Plannerのタスク割り当て通知を使い、受信者に対して「未処理の従業員タスク」があるとのメッセージを巧妙に送りつけています。件名や送信者名は「HR@[company].com Sent 3 Messages Via Teams Chat」とし、受信者には急ぎのアクションを促す仕掛けになっています。さらに、受信者が自分自身にメールを送ったかのように見える送信者アドレスが表示されているため、非常に信憑性が高く見えます。

攻撃の流れ

攻撃の流れは次の通りです：
1. ユーザーがリンクをクリックします。
2. 表示されるURLは本物のMicrosoft認証ページに見えるため、不審に思いません。
3. ユーザーがサインイン後、権限を承認するように促されます。
4. 攻撃者は、与えられた権限を使って被害者のMicrosoft 365環境の様々な情報にアクセスできます。

この手法は、すでに一般化しつつあり、今後も拡大が見込まれます。攻撃者は、フィッシングキャンペーンが成功する確率を高めるため、より巧妙な手法を用いています。

影響とリスク

被害者が承認した権限によって、攻撃者は以下のような情報にアクセスすることができます：

- メール：被害者のメールボックスから情報を収集し、ビジネスメール詐欺（BEC）に繋がる可能性があります。
- ファイル：ユーザーが開くことができる文書やデータ。
- Teams：チャットや会話、共有されたメッセージ。
- OneDrive：個人データのクラウドストレージ。
- カレンダー：会議情報が記されているカレンダーの詳細。

地域別の分布

攻撃が確認された顧客の中で、地域別の分布は非常に偏っています。北米では98.3%の顧客が報告され、アジアや中南米ではごくわずかしか確認されていません。

業種別の内訳

フィッシング攻撃の効果的なターゲットは、産業・製造業が39通（19.3%）、法務・専門サービスが28通（13.9%）と、多数の業種が影響を受けています。

攻撃者の意図

チェック・ポイントの専門家は、攻撃者がMicrosoftの仕組みを巧妙に悪用していると警告しています。通常のセキュリティ対策が無効化されるため、特に注意が必要です。攻撃者は、リスクを最大限に引き上げるために、見た目や挙動をすべて本物に見せかける手法を採用しています。このキャンペーンはすでに終息していますが、今後もこの種の手法が現れる可能性は高いでしょう。