Microsoft365のセッション再利用攻撃、79組織で侵害を確認
影響を受けるもの
- Microsoft365の業務アカウント
- Microsoft Entraの端末登録と認証方法
- Exchange Onlineのメール
Huntressは2026年10月22日、Microsoft365のサインイン後に発行されるトークンを盗み、再利用して業務アカウントへ侵入する攻撃を報告した。7月14日から9月22日の観測では、79組織で497回の成功サインインを確認した。侵入後には少なくとも48件の不正な端末登録や、認証方法の変更、業務メールを隠す振り分けルールの作成が見つかった。[1]
攻撃者は利用者と正規サービスの間に中継を挟み、利用者が認証を終えた後のセッションを奪っていた。正規のログイン画面でコードを入力させる手口も使われた。Huntressは、条件付きアクセスの適用に加え、侵害時にはセッションの失効、パスワード変更、不正な端末と認証方法の除去を組み合わせるよう勧めている。[1]
企業の担当者は、サインインの成功に加えて、その後に追加された端末や認証アプリ、メールの処理ルールを確認したい。報告には給与関連のメールを外部へ送った事例もある。アカウント管理とメール管理の担当者が連携し、利用者に覚えのない変更と業務連絡への影響を点検することが重要になる。[1]
担当者が確かめること
- Microsoft Entraのサインインログで、Huntressが公表した通信元と不審な成功サインインを照合する。
- 侵害を確認したアカウントはセッションを失効させ、パスワードを変更する。
- Microsoft Entraの端末登録と認証方法を利用者に照会し、攻撃者が追加したものを確認して除去する。
- Exchange Onlineで、メールを既読化・削除したり目立たないフォルダーへ移したりする不審なルールを調べる。
- 条件付きアクセスの対象ユーザー・アプリと、デバイスコード認証の利用条件を点検する。
SERVICE最新AIペネトレーションテスト悪用される前に、弱点を洗い出す。公開Web・API・クラウド・社内システムまで、合意した範囲だけを、攻撃者と同じ最新のAI攻撃ツールで試します。報告は今日直すものに絞って優先順位をつけ、修正後の再検証まで行います。
