悪意あるアプリへの OAuth 同意でメールを乗っ取られないようにする（IPA の相談事例）

何が起きたか

• IPA の 2026 年 7〜9 月の相談状況で、社員の Microsoft アカウントに悪意あるアプリへの OAuth 同意が付与され、大量送信に使われた事例が紹介された。
• アプリは同意で得たトークンでメールを読み書き・送信できる。パスワードを変えても、同意を取り消さない限りアクセスは続く。

予防

1. ユーザー同意を制限する。 Entra ID の「エンタープライズ アプリケーション → 同意とアクセス許可」で、ユーザーが同意できるのを「確認済み発行元のアプリで、影響の小さいアクセス許可だけ」に絞るか、完全に禁止する。
2. 管理者の同意ワークフローを有効にする。 利用者が必要なアプリを申請し、管理者が審査して許可する流れにする。
3. 利用者に教える。 「アクセス許可の要求」画面で Mail.Send や Mail.ReadWrite などを求める見知らぬアプリには同意しない。

被害が疑われるときの点検

• Entra ID の監査ログで「アプリケーションへの同意」の記録を、サインインログで不審なアプリやサインインを確認する。
• エンタープライズ アプリケーションの一覧から、見覚えのないアプリの同意を取り消し、アプリを削除する。
• Exchange Online のメール転送設定と受信トレイのルールに、知らない転送先がないか確認する。

注意点

• 設定画面の名前やメニューは Microsoft 側の変更で変わることがある。最新の公式ドキュメントで確認する。
• 関連: AI チャットの GitHub 連携は「Only select repositories」に絞る（ChatGPT 間接プロンプトインジェクション事例）

出典

• @MalwareBibleJP · 2026-10-24
• IPA: ipa.go.jp