2026年2月19日以来、米国、カナダ、オーストラリア、ニュージーランド、ドイツにまたがる340以上のMicrosoft 365組織を狙うフィッシング詐欺キャンペーンが活動を続けており、新たな被害事例が加速度的に増加しています。4月6日、Microsoftセキュリティブログは、生成AI と完全なエンドツーエンド自動化を使用してビジネスメールアカウントを従来のデバイスコード攻撃では到達できなかった規模で侵害する作戦について、詳細な分析を公開しました。Microsoft 365に日々のメール運用を依存するマーケティングおよび成長チームにとって、この脅威は直接的です。盗まれたトークンはメール流出と継続的なアクセス維持に使用され、通常は通信をリダイレクトまたは隠蔽する悪意あるインボックスルール経由で行われます。
この攻撃が異なる理由
デバイスコード認証は、スマートテレビやプリンタなどのインターフェースが限定的なデバイス向けに設計された正規のOAuthフローです。このモデルでは、ユーザーは短いコードを提示され、それを別のデバイスのブラウザに入力して認証を完了するよう指示されます。脅威アクターはこの特性を悪用して、認証を発信元セッションから分離することで従来のMFA保護をバイパスしています。
2026年キャンペーンが以前の試みと異なる点はAIレイヤーです。このキャンペーンは静的でマニュアルなスクリプトから、複数の自動化をエンドツーエンドで備えたAI駆動型インフラストラクチャへと移行しています。重要な技術革新は動的コード生成です。従来の静的フィッシング試みでは、脅威アクターはメールに事前生成されたコードを含め、成功のための狭いウィンドウを作り出していました。標準的な15分間のタイマーが切れる前に、ターゲットユーザーはメールを開き、リダイレクトをナビゲートし、認証を完了する必要がありました。ユーザーが送信から20分後にメールを開いた場合、攻撃は自動的に失敗しました。
動的コード生成は、ユーザーがフィッシングリンクと相互作用した瞬間に正確にコード生成をトリガーすることで15分間の有効期限をバイパスし、認証フローが有効なままであることを保証します。被害者がMicrosoftの正規ログインページにコードを入力すると、攻撃者のセッションはユーザーの権限を継承し、MFAをバイパスして継続的なアクセスを実現します。
キャンペーンの規模と速度
数字は明らかです。Microsoftのセキュリティリサーチ担当副社長であるTanmay Ganacharya氏はThe Registerに対して「2026年3月15日以降、24時間ごとに10から15の異なるキャンペーンが立ち上がるのを観測しています。各キャンペーンは大規模に配布され、数百の組織を極めてバリエーション豊かでユニークなペイロードでターゲットにしているため、パターンベースの検出がより困難になります」と語りました。
建設、非営利団体、不動産、製造、金融サービス、医療、法律、政府機関は、ターゲットにされている主要なセクターの一部です。対象外の業界はありません。EvilTokensというこのキャンペーンの背後にあるツールは、2026年2月中旬以来フィッシングアズアサービスキットとして販売されており、購入者はMFAをバイパスし、組織のMicrosoft 365アプリケーションに被害者として静かに認証することができます。
フランスのサイバーセキュリティ企業Sekoiaによると、「EvilTokensはターンキー方式のMicrosoftデバイスコードフィッシングキットと、BEC攻撃を実行するための一連の高度な機能(アクセス武器化、メールハーベスティング、偵察機能、組み込みウェブメールインターフェース、AI駆動型自動化など)を提供しています」とのことです。
攻撃者が財務およびエグゼクティブアカウントをターゲットにする方法
このキャンペーンは侵害されたすべてのアカウントを同等に扱いません。偵察フェーズは通常、実際のフィッシング試みが開始される10から15日前に行われます。その後、攻撃者はAIを使用して、ターゲットの役割に合わせた高度にパーソナライズされたフィッシングメール(提案請求、請求書、製造ワークフローなどのテーマ)を作成します。
自動URL スキャナーとサンドボックスを回避するため、脅威アクターは最終的なフィッシングサイトに直接リンクしません。代わりに、侵害された正規ドメインと高信頼性のサーバーレスプラットフォーム経由で一連のリダイレクトを使用します。Microsoftは、リダイレクトロジックをホストするためにVercel、Cloudflare Workers、AWS Lambdaへの大きな依存を観測しました。これらのドメインを使用することで、フィッシングトラフィックは正規のエンタープライズクラウドトラフィックに混在し、単純なドメインブロックリストトリガーを防ぎます。
初期侵害後、侵入者が10分以内に新しいデバイスを登録して長期継続アクセス用のプライマリリフレッシュトークンを生成するケースもあります。その他のケースでは、機密メールデータを盗む前、または「給与」または「請求書」が件名に含まれるメッセージを転送するなどのインボックスルールを作成する前に、数時間待つケースもあります。
侵害後の活動は、財務関連のペルソナに対する一貫したフォーカスを示しており、Ganacharya氏が確認したところ、これらのアカウントで自動メール流出が観測されています。
標準MFAがこれを防がない理由
これはほとんどのチームを不意打ちにする部分です。この攻撃は、被害者が類似サイトで認証情報を入力する必要なしにMicrosoft 365アクセストークンを収集し、認証インタラクションを正規のサインイン と区別不可能にします。多要素認証は保護を提供しません。被害者は攻撃者に代わってMFAチャレンジを自分で完了し、その結果のリフレッシュトークンはパスワードリセット後も継続し、復旧を複雑にします。
従来の認証情報ハーベスティングとは異なり、このテクニックは被害者を正規のMicrosoft認証ページ経由でルーティングするため、セキュリティオペレーションセンターがリアルタイムで侵害を検出することは実質的に困難です。
この攻撃は、Microsoftが2025年2月に文書化したStorm-2372キャンペーンからの直接的な段階的エスカレーションを示しており、そのキャンペーンはメッセージングアプリとTeamsの招待経由での手動ソーシャルエンジニアリングに依存していました。2026年キャンペーンは、偵察、ルア生成、インフラスピニング、および悪用全体にわたって産業化された自動化とAI統合へとシフトしています。
ビジネスチームが今すぐ実施すべき対策
フィッシング耐性MFA方式、特にFIDO2ハードウェアキーと証明書ベース認証は、認証を物理デバイスにバインドするためこの攻撃をブロックします。標準的なTOTPコードとプッシュ通知はそうではありません。
Microsoftセキュリティブログおよび独立系アナリストは3つの優先アクションを推奨しています。
- Microsoft Entra IDでデバイスコードフローを制限します。 条件付きアクセスポリシーは、正当なビジネスニーズのないユーザーのデバイスコード認証フローをブロックできます。
- 侵害後のインボックスルール作成を監視します。 Microsoft Defender XDRおよびEntra ID Protectionには、異常なデバイスコード認証(疑わしいサインインおよび侵害後のGraph API偵察と組み合わせたインボックスルール作成を含む)の検出が含まれるようになりました。
- 財務およびエグゼクティブチームに特別にトレーニングを実施します。 実際のワークフロー、実際の職務名、妥当なビジネスコンテキストを参照する役割固有のルアーは、ジェネリック型フィッシングとは根本的に異なるカテゴリーの脅威です。標準的な認識トレーニングだけでは不十分です。
Microsoft 365をメールバックボーン として実行しているあらゆる組織にとって、侵害されたインボックスの運用上の影響はデータ損失を遥かに超えています。送信履歴の破損、転送ルールの操作、請求スレッドの乗っ取りは、送信者評判と配信可能性を数か月間損なう可能性があります。メールセキュリティをコンテンツフィルタリングの問題ではなく、アイデンティティの問題として扱うことは、現在ビジネス上重要な要件となっています。
