MFAなのに突破された？ 「Microsoft正規画面で認証したのに侵害された」理由：「偽サイトを見抜け」はもう通用しない

Microsoftの正規サインイン画面でログインし、多要素認証（MFA）も正常に完了した。それでも攻撃者にアカウントへのアクセスを許してしまう──。Trend Microは、OAuth 2.0の正規機能を悪用する新攻撃の実態を公開した。なぜ従来の対策では見抜きにくいのか。攻撃の流れと有効な防御策を解説する。

[＠IT]

　Trend Microは2026年7月22日（現地時間）、OAuth 2.0のデバイス認可グラントを悪用し、攻撃者が認証セッションを取得する「デバイスコードフィッシング」の仕組みや観測事例、防御策を公表した。

　デバイス認可グラントとは、スマートテレビやIoT機器のような入力機能が限られた機器が、スマートフォンやPCなどの別端末を使ってユーザー認証と認可を実行するOAuth 2.0の仕組みだ。

　今回の事例ではこれが悪用されている。被害者は偽のログインページではなくMicrosoftの正規サインイン画面で認証をする。このとき、パスワードが盗まれることはなく、多要素認証（MFA）も正常に機能するにもかかわらず、認証結果から発行されたトークンが攻撃者に渡る点が特徴だ。

正規画面で認証しても侵害される　デバイスコードフィッシングの仕組み

　デバイス認可グラントでは通常、機器がMicrosoftから短時間だけ有効なデバイスコードを取得し、ユーザーがスマートフォンやPCでMicrosoftの認証ページを開いてそのコードを入力し、認証を承認する。認証が完了すると、コードを要求した機器にアクセストークンが発行される。この仕組みでは、本来、コードを要求した機器と認証ユーザーが同じであることが前提となっている。

　ではこの仕組みをどう悪用するかというと、まず攻撃者は自身のサーバからデバイスコード認証を開始し、Microsoftから有効なコードを取得する。そのコードを、共有文書の確認やアカウント認証を装ったメッセージとともに被害者に送り付け、Microsoftの正規サインイン画面で入力するよう誘導する。被害者がパスワードを入力し、MFAを完了すると、攻撃者が開始した認証要求が承認され、アクセストークンは攻撃者側に発行される。攻撃者は取得したトークンを利用し、「Microsoft 365 Outlook」へのアクセスや端末登録、メールボックス規則の作成などを実行できる。

　ユーザーが「Microsoft Authentication Broker」を利用する環境では、影響はさらに大きくなる。同コンポーネントはMicrosoft製アプリの認証情報を管理する役割を担っており、攻撃者は一度の承認から不正な端末を組織に登録したり、長期間利用できる更新トークンを取得したりできる可能性がある。その結果、一時的な不正ログインだけでなく、継続的なアクセスを維持される恐れがある。

　Trend Microの調査では、攻撃者は法律事務所の提携先を名乗り、協業の相談を持ちかける友好的な電子メールで被害者に接触した。数回のやりとりを重ねて信頼関係を築いた後、リンクを送り付け、通常の業務連絡の延長と見せかけて警戒心を弱めていたという。

　上記の被害事例では、表示上、企業の正規Webサイトにアクセスしているように見えるが、実際のリンク先は遮断されにくい「Google Sites」のページだった。そこから侵害済みの正規サイトに設置されたオープンリダイレクトを経由し、最終的な転送先をURLパラメーターに隠すことで、不審なアドレスを見せない工夫が施されていた。さらに最終ページには偽の人間確認画面が設置され、自動解析やサンドボックスによる検査を回避する仕組みも組み込まれていた。

　最終的な着地先は文書共有ポータルを装ったページで、表示された確認コードをMicrosoftの正規サインイン画面に入力するよう案内する。被害者が認証を承認してから数時間後、攻撃者は国外からサインインし、複数の端末をアカウントに登録した。その後、返信メールや配信不能通知を目立たないフォルダに移動する受信トレイ規則を作成し、侵害したメールボックスから数百件のフィッシングメールを外部に送信していた。

　この攻撃では被害者の端末自体にマルウェアを送り込む必要がなく、一連の操作はクラウド認証基盤と「Microsoft 365」内で完結する。そのため、EDR（Endpoint Detection and Response）など端末監視を中心とした対策だけでは異常を検知しにくい点も特徴だ。

　検知には、ID基盤に残る複数のイベントを関連付けて分析することが重要となる。例えば、通常は利用頻度が低いデバイスコード認証によるサインイン、不慣れな国やネットワークからのアクセス、未管理端末によるMicrosoft Authentication Brokerへの接続、短時間に集中した新規端末登録などは注意すべき兆候だ。また、受信メールを自動的に既読化したり、目立たないフォルダに移動したり、削除したりする受信トレイ規則の追加や、利用者の通常とは異なる地域からのログインも侵害を示す手掛かりとなる。

　Trend Microは、防御策としてまず、業務上不要な環境では条件付きアクセスを利用してOAuthのデバイスコード認証を無効化し、必要なシステムだけ例外的に利用を許可することを推奨している。その上で、利用者に対して予期しないコード入力やコードの読み上げ依頼を危険信号として認識させ、速やかに報告できる体制を整えることが重要だとしている。

　さらに、端末登録を許可する利用者を必要最小限に限定し、電子メールや業務データへのアクセスを管理済みかつ準拠済みの端末に制限することや、利用者ごとの登録可能台数を抑えることも有効だ。加えて、指定地域ポリシーや継続的アクセス評価（CAE）、トークン保護を有効化し、リスクが高まった際にはセッションを自動的に失効させることも推奨している。

利用者を巧みにだます手口　対策は？

　Trend Microは、この攻撃は脆弱（ぜいじゃく）性を悪用するものではなく、OAuth 2.0の正規機能とMicrosoftの信頼された認証画面、そして利用者を巧みに誘導するソーシャルエンジニアリングを組み合わせた手口だと説明する。不要なデバイスコード認証を無効化するとともに、フィッシング耐性を備えた認証方式への移行や、正規サイトであっても予期しないコード入力を求められた場合は疑うという利用者教育を徹底することが重要だとしている。