MFAは破られていない。それでも Microsoft 365 は侵害される
2026年も不正アクセスや情報漏えい事故が相次いでいます。
攻撃者は生成AIを活用し、自然な日本語によるフィッシングメールや、組織に合わせた標的型メールを低コストで大量に作成できるようになりました。また、従来の「パスワードを盗む」攻撃に加えて、認証そのものを悪用する手法も増加しています。生成AIを利用したフィッシングやBEC（ビジネスメール詐欺）の高度化は、近年の大きな変化の一つです。
特に注目されているのが、Microsoft 365を標的とした認証トークンの悪用です。Microsoftは、Storm-2372によるDevice Code Phishingを利用した攻撃キャンペーンについて注意喚起しています。
参考URL：Storm-2372 conducts device code phishing campaign | Microsoft Security Blog
2026年上半期 メール脅威トレンド
2026年上半期は、以下のような脅威が企業に大きな影響を与えました。
- 生成AI活用フィッシング
- BEC（ビジネスメール詐欺）の高度化
- Microsoft 365認証情報窃取
- 認証トークン悪用攻撃
- MFAを前提とした攻撃手法の増加
従来のメールセキュリティは「迷惑メールをブロックすること」が中心でした。しかし現在では、認証やクラウドサービス利用を前提とした攻撃が主流となりつつあります。
MFAを導入しているのに、なぜ侵害されるのか？
多くの企業では、多要素認証（MFA）や条件付きアクセス、Microsoft 365の標準セキュリティ機能などを導入しています。
そのため、「MFAがあるから大丈夫」と考えている方も少なくありません。
しかし、近年の攻撃者はパスワードではなく、認証結果そのものを狙い始めています。
認証トークンとは？
Microsoft 365へログインした後、毎回パスワードやMFAを求められないのは「認証トークン」と呼ばれる情報が利用されているためです。
認証トークンは、「このユーザーは認証済みである」ことを証明するデジタルな入館証のようなものです。正規ユーザーが認証を完了すると、サービスは認証トークンを発行し、その後のアクセスに利用します。
つまり、攻撃者が認証トークンを取得できた場合、パスワードを知らなくても正規ユーザーとして振る舞える可能性があります。
これは、建物の鍵を盗まれるというより、「正規の入館証を盗まれる」状況に近いといえるでしょう。
そのため、MFAが有効であっても、認証後に発行されたトークンが悪用されると、不正アクセスが成立する場合があります。
Device Code Phishing
認証トークンを狙う攻撃の代表例がDevice Code Phishingです。Microsoftも近年増加する攻撃手法として警戒しています。
従来のフィッシングは、偽のログイン画面を利用して認証情報を窃取していました。
一方、Device Code Phishingは正規のMicrosoft認証画面を利用します。
そのため、利用者は「本物のMicrosoftサイトだから安全だろう」と思い込みやすく、攻撃に気づきにくいという特徴があります。
Device Code Phishingの攻撃フロー
攻撃の流れを簡単に説明すると次のようになります。
① 攻撃者がDevice Codeを取得
② 攻撃者が標的へ認証コードを送付
③ 利用者が正規のMicrosoft認証ページへアクセス
④ 利用者が認証コードを入力し、通常どおりログイン
⑤ MFAを含む認証が正常に完了
⑥ 攻撃者が認証トークンを取得
⑦ Microsoft 365へ不正アクセス
重要なのは、利用者は正規のMicrosoft認証画面で認証しているという点です。
つまり、MFAが破られたのではなく、MFAを含む認証は正常に成功しています。
それにもかかわらず、攻撃者が認証結果を悪用することで、侵害が成立してしまう場合があるのです。
認証トークンが悪用されると何が起こるのか
攻撃者が認証トークンを取得すると、さまざまな情報へアクセスできる可能性があります。
例えば、Outlookのメールを閲覧されたり、OneDrive上のファイルを取得されたりするほか、TeamsのメッセージやSharePoint内の情報を参照されるおそれもあります。
さらに、侵害されたアカウントが悪用されると、次のような被害に発展するおそれがあります。
- 社内へのなりすましメールの送信
- 取引先への攻撃メール送信
- BEC（ビジネスメール詐欺）
単なるメール漏えいでは終わらない
特にMicrosoft 365は、メールだけでなくファイル共有やチャット、社内ポータルまで統合されたプラットフォームです。
そのため、1つのアカウントが侵害されると、次のような二次被害につながる可能性があります。
- 機密資料の窃取
- 内部情報の収集
- 取引先情報の把握
- 社内関係者への横展開
攻撃者にとって認証トークンは、単なるログイン情報ではなく、企業活動そのものへのアクセス権を意味する場合があるのです。
企業が見直すべきポイント
2026年の攻撃動向を見ると、もはやIDとパスワードだけを守れば良い時代ではありません。
企業には、以下のような対策が求められています。
- メールセキュリティの強化
- MFA運用の見直し
- 条件付きアクセスの活用
- 認証ログの監視
- 利用者教育の継続
攻撃者が認証情報や認証トークンを狙う時代においては、認証後の対策だけでは十分ではありません。MFAは依然として重要な対策ですが、MFA導入のみで安全とは言い切れなくなっています。
攻撃の入口となるメールそのものを減らし、脅威を利用者へ届けない仕組みづくりがこれまで以上に重要になります。
まずは現在の防御力を確認しませんか？
メールセキュリティ対策を見直す際に重要なのは、製品を入れ替えることではなく、現在の環境を正しく把握することです。
ジュピターテクノロジーでは、メール環境の防御力を確認できる「メールセキュリティ診断」をご提供しています。
- 最新の攻撃メールへの耐性確認
- 現行環境の課題把握
- 改善ポイントの可視化
上記のような課題やご要望をお持ちの方は、以下のボタンからセキュリティテストをご利用ください。
関連セミナー
2026年11月25日（水）にオンラインセミナーを開催いたします。
本セミナーでは、認証トークン悪用の仕組みやDevice Code Phishingの攻撃手法、Microsoft 365を狙う最新の攻撃動向について解説します。あわせて、企業が実施すべき対策についてもご紹介します。
Microsoft 365のセキュリティ対策を見直したい方はもちろん、来期の対策や予算策定を進めている方にもおすすめの内容です。ぜひご活用ください。
以上となります。
ここまでお読みいただき、ありがとうございました。
