5週間で340超の企業が被害に Microsoft 365のアクセスを奪う新型フィッシングに注意：夏休みに振り返る2026年上半期ニュース（1/2 ページ）

MFAを突破されていないのに、なぜ電子メールやクラウドが“乗っ取られる”のか。5週間で340超の企業が被害に遭ったMicrosoft 365を狙う新型フィッシングは、パスワードではなく「OAuth同意」を悪用していたという。

[＠IT]

夏休みこそ「振り返り」

目前の課題解決、緊急の障害対応など、IT部門の日常は非常に多忙。そうした中で、「中長期的な視点を持とう」「攻めと守りを両立せよ」「ビジネスに貢献せよ」などと言われても、なかなか難しいものです。それならば、せめて夏休みの間だけでも上半期の振り返りをしてみてはいかがでしょうか。ここでは、この夏にもう一度読みたい「ヒットニュース」をピックアップ。働いている人もそうでない人も、冷たい飲み物片手に追えていなかった情報を見返してみてはいかがでしょうか。

初出：2026年5月21日　文中の記述は掲載当時のママ

　セキュリティ関連のニュースを報じる「The Hacker News」は2026年5月19日（米国時間）、OAuthの同意機能を悪用し、多要素認証（MFA）を回避せずに「Microsoft 365」の電子メールやクラウドデータへのアクセス権を取得する新型フィッシング攻撃が拡大していると報じた。

　サイバー攻撃者はパスワードそのものを盗むのではなく、正規認証後に発行されるOAuthリフレッシュトークンを取得し、電子メールやクラウドストレージ、予定表、連絡先に継続的にアクセスしていたとされる。

5週間で340超のMicrosoft 365利用組織が侵害を受ける

　2026年2月に「EvilTokens」と呼ばれるフィッシング・アズ・ア・サービス（PhaaS）基盤が稼働を開始した。稼働開始から5週間で、5カ国340超のMicrosoft 365を利用する組織が侵害されたという。標的となったユーザーには「microsoft.com/devicelogin」で短いコード入力を求めるメッセージが送信された。利用者は通常通りMFA認証を終えた後、日常的なサインイン確認を済ませたと認識していたが、実際には攻撃者にOAuthリフレッシュトークンを渡していた。

　この攻撃ではサイバー攻撃者がパスワードを取得する必要はない。追加のMFA要求も発生せず、不審なサインインとして検知されにくい点が特徴だ。ユーザーは正規ドメインで認証を完了しているため、システム側から見れば正常な認証処理として扱われる。攻撃者が取得したリフレッシュトークンは認証基盤側で署名済みであり、ユーザーが承認した権限範囲に従って利用可能になる。