Microsoft 365 のトークン窃取からの復旧は「パスワード再設定だけ」で終わらせない

何が起きたか

• Huntress の報告では、2026 年 7〜9 月の約 10 週間に 79 組織で 497 件以上の不正サインインが確認された。
• トークンは中間者（AiTM）型のフィッシング中継や、デバイスコードフィッシングで窃取され、少数の IP アドレスから順次再利用された。
• Entra ID への不正なデバイス登録が 48 台以上。19 組織では、最初の不正サインインから 3 時間以内に MFA 手段が消去・再登録された。
• メールを既読にする・削除する・目立たないフォルダーへ移すルールが作られ、社外へ送った給与関連メールの返信を隠す例もあった。

侵害が疑われるときの手順

1. セッションを失効させる（サインインセッションの取り消し）とパスワードの再設定を行う。
2. 登録済みデバイスを点検する。 Entra ID でそのユーザーに紐付くデバイスを確認し、見覚えのないものを削除する。
3. MFA 手段を点検する。 登録済みの認証方法に、知らない電話番号や認証アプリがないか確認し、不正なものを外す。
4. メールボックスのルールと転送設定を点検する。 既読化・削除・移動・外部転送をするルールを探して削除する。
5. 不正ルールの作成元は再利用元と別の VPN やサーバーだったので、IP の遮断だけで安心しない。

予防

• 条件付きアクセスの対象漏れを確認する。 適用されていないユーザーやアプリが残っていないか見る。
• デバイスコードフローを、必要な用途以外では制限する。 Microsoft の手順に沿い、緊急用アカウントなどを除外し、レポート専用モードで影響を確認してから有効にする。
• 条件付きアクセスで拒否された記録がある場合も、有効な認証情報が盗まれている前提で調べる。拒否件数が多い組織と実際の侵入先は一致しないことがあった。

注意点

• 管理画面の名前やメニューは変わることがあるので、公式ドキュメントで確認する。
• 関連: 悪意あるアプリへの OAuth 同意でメールを乗っ取られないようにする（IPA の相談事例）

出典

• @MalwareBibleJP · 2026-10-26