Microsoft正規認証基盤を悪用した新型フィッシングが確認される
チェック・ポイント・ソフトウェア・テクノロジーズの脅威インテリジェンス部門であるチェック・ポイント・リサーチ（CPR）は、Microsoftの正規の認証基盤を悪用した新型のフィッシングキャンペーンを確認したと発表しました。この調査により、攻撃者の手口が、偽のMicrosoftサインインページを用いる従来の手法から、Microsoftの正規の認証基盤そのものを悪用する手法へと急速に移行している実態が明らかになりました。これにより、従業員が訓練を通じて身につけてきた不審なサインの見分け方の多くが機能しなくなり、フィッシングキャンペーンが検知をすり抜けるケースが生じているといいます。
CPRによると、2026年6月25日から7月第2週にかけて、世界の幅広い業種・国にまたがる約120の組織のユーザーを標的とした、約200通のフィッシングメールが確認されました。これらのメールは、人事部門（HR）からのMicrosoft Teamsのタスク通知になりすまし、受信者を正規のMicrosoftサインインページへ誘導していました。被害者はその後、攻撃者が管理するアプリケーションに権限を付与するよう促され、これによりキャンペーンは、悪意を隠したままMicrosoftの信頼された認証フローを悪用できるようになっているとのことです。
巧妙化する攻撃の手口
今回確認されたメールは、Microsoft Plannerのタスク割り当て通知になりすましたものです。送信者名は「There’s New Activity On Team」、件名は「HR@[company].com Sent 3 Messages Via Teams Chat」となっており、本文はTeamsのデザインを巧妙に模倣しているとされています。特に「Payroll, Compensation + Benefits Update（給与・報酬・福利厚生の更新）」に言及し、「4 Overdue Employee Tasks（未処理の従業員タスク4件）」というカウンターを表示することで、緊急性を演出し、素早いクリックを促す仕掛けになっているといいます。
本文中のリンクは、二つのCTA（行動喚起）ボタンを含め、いずれも同じリダイレクト先へ誘導する構造です。さらに、表示される送信者アドレスも標的自身の組織のものであり、受信者本人が自分自身にメールを送ったかのように見える点が特徴です。
攻撃の流れと影響
ユーザーがフィッシングメール内のリンクをクリックすると、偽装ドメイン（look-alikeドメイン）ではなく、正規の login.microsoftonline.com のOAuth認可URLが表示されるため、不審に見えないとされています。
サインイン後、ユーザーは「権限を承認」または「組織を代表して承認」といった、許可を求めるプロンプト画面に進みます。この承認が完了すると、Microsoftは最初のリクエストで指定された redirect_uri（リダイレクト先URL）へブラウザを転送します。このキャンペーンでの転送先は、Microsoftではなく、攻撃者が管理するAWS API GatewayのエンドポイントであるとCPRは説明しています。認可コード（またはトークン）はそのエンドポイントに渡され、攻撃者はそれをアクセス権と引き換えることで、Microsoft 365環境全体にわたって動作する権限を取得するとしています。
この手口はすでに一般化しており、MITRE ATT&CKフレームワークにも登録され、追跡対象とされています。2026年には、標的を絞った手作業の攻撃から、事実上誰もが利用（レンタル）できるサービスへと進化しているとのことです。
ユーザーが同意画面で承認する権限次第で、攻撃者が管理するアプリは、被害者のMicrosoft 365環境全体にわたって動作できるようになります。これにより、メールの読み取り・検索・送信（ビジネスメール詐欺（BEC）への悪用）、ファイルへのアクセス、Teamsのチャットやメッセージ、SharePointの社内サイト、OneDriveの個人クラウドストレージ、カレンダーの会議情報など、広範囲な情報が攻撃者の手に渡る可能性があります。
標的となった組織の分布
所在地を分類できた顧客のうち、地域別の分布は北米が約98.3%と大半を占め、アジアと中南米（LATAM）がそれぞれ約0.9%となっています。
業種別では、産業・製造業が約19.3%（15組織）、法務・専門サービスが約13.9%（21組織）、非営利団体・協会が約10.9%（16組織）、政府・公共部門が約8.9%（9組織）、ヘルスケアが約6.9%（11組織）と続いています。
従来のフィッシング対策を回避する新たな脅威
チェック・ポイントのメールセキュリティ研究者は、今回のキャンペーンについて、攻撃者がMicrosoftの正規の仕組みを隠れみのにすることで、企業が築いてきた見分け方そのものを無効化しつつあると指摘しています。ユーザーの目に映るものはすべて本物であり、虚偽が潜んでいるのは、アクセス権限を求めてくるアプリケーションの背後にある目的のみであるという見解です。
このキャンペーンはすでに活動を終えているものの、攻撃者が従来のフィッシング対策を回避する手法を根本から変えつつあることを示す一例であるとしています。
推奨される対策
CPRは、このような新型フィッシング攻撃から身を守るための対策を推奨しています。
-
リンクの確認: クリックする前にリンクにマウスを重ね（ホバーし）、リンク先がメールで言及されているサービスと一致しているかを確認してください。異なるボタンが同じURLにつながっている場合は、注意が必要であるとしています。
-
送信者情報の確認: 送信者名、送信者アドレス、送信元ドメインが互いに一致しているかを確認してください。今回のキャンペーンでは、メールは受信者自身のメールアドレスから届いたように見える一方で、表示名はTeamsのアクティビティを装っていました。社内アドレスから届いたように見える場合でも、表示名や送信者アドレスがなりすましや改ざんによるものである可能性を踏まえ、慎重に確認することが重要です。
-
公式アプリの利用: 少しでも不審に感じたら、メール内のリンクを使うのではなく、Teamsなどのアプリケーションを公式アプリから直接開くことが推奨されています。
-
早期の報告: 不審なメッセージに気づいた場合は、直ちに報告することが重要です。早期の報告により、セキュリティチームはアプリケーションを調査し、悪意のある同意（consent）を取り消し、影響を受けたアカウントを特定し、関連するキャンペーン活動をブロックできるようになります。
チェック・ポイント・ソフトウェア・テクノロジーズについて
チェック・ポイント・ソフトウェア・テクノロジーズ（https://www.checkpoint.com/）は、世界各国の約10万を超える組織を保護するグローバルなサイバーセキュリティのリーダー企業です。同社は、企業の安全なAIトランスフォーメーションの保護をミッションとして掲げ、防止優先のアプローチとオープンエコシステムアーキテクチャを基盤に、組織がリスクを低減し、業務を簡素化し、自信を持ってイノベーションを推進できるよう支援しています。日本法人は、チェック・ポイント・ソフトウェア・テクノロジーズ株式会社（https://www.checkpoint.com/jp/）で、東京都港区に拠点を置いています。
ソース元
ページタイトル: Attackers Are Turning Microsoft’s Trusted Login System Into Their Latest Phishing Weapon
URL: https://blog.checkpoint.com/email-security/attackers-are-turning-microsofts-trusted-login-system-into-their-latest-phishing-weapon/