Azure／Entraから情報を抜かせない 大企業9社・364万件流出事案で見えた防御の穴：認証情報をどう守る？

大企業9社のAzure／Entra環境から、計364万件超の従業員情報が持ち出された事案が起きた。一体なぜこのような事態が発生してしまったのか。今回の事例を踏まえて、Azureテナントを守るために押さえるべきポイントを考える。

[＠IT]

　イスラエルの脅威インテリジェンス企業Hudson Rockは2026年8月16日（現地時間）、侵害された認証情報を悪用し、複数の大企業の「Microsoft Entra ID」（以下、Entra ID）環境から大量の従業員情報を取得したとみられる攻撃活動が進行していると発表した。

　攻撃者は「TheHatman」を名乗り、直近1週間に複数のサイバー犯罪フォーラムで、米フォーチュン500企業を含む組織の従業員情報を相次いで公開・販売している。TheHatmanは、これらのデータを各組織の「Azureテナント」から直接取得したと主張している。

　ただし、現時点で「Microsoft Azure」（以下、Azure）やEntra IDそのものの脆弱（ぜいじゃく）性が悪用されたと確認されたわけではない。また、攻撃者が使用した認証情報をどのように入手したのかも特定されていない。

364万件超の従業員情報の窃取を主張　データの信ぴょう性は「高」

　影響が確認された組織は、ITサービスやホテル、通信、小売り、物流など幅広い業種に及ぶ。攻撃者が提示したデータ件数は、McDonald'sが約170万件超、Tata Consultancy Services（TCS）が約80万件超、Vodafoneが約42万5000件超、HCL Technologiesが約25万件超、InterContinental Hotels Group（IHG）が約18万5000件超、Kyndrylが約17万件超だった。

　この他、Gapが約8万件超、Hexaware Technologiesが約2万件超、Wyndham Hotelsが約9000件超とされる。攻撃者が公表した9社分の件数を単純合計すると、約363万9000件を超える。

　Hudson Rockの研究者は提示されたデータを調査し、企業のメールアドレスが記載されていることに加え、データのフィールド名が標準的なAzureディレクトリのエクスポート形式と一致していることから、データの信ぴょう性は高いと判断した。

　一方で、これらがどのような経路で取得されたのか、攻撃者の主張が全て正しいかどうかについては、現時点で全容が確定していない。

　確認されたデータには、氏名や企業メールアドレス、電話番号、住所などの個人情報が含まれていた。メールアドレスには、各社が使用する企業ドメインに加え、テナント固有の「.onmicrosoft.com」形式のアドレスも確認された。

　さらに従業員ID、役職、部署、メモ、上司や直属の部下に関する情報など、組織内の人間関係や指揮命令系統を把握できる情報も含まれていた。

　注目すべきなのは、単なる従業員名簿にとどまらない点だ。ユーザーが所属するグループやサービスアカウント、高い権限を持つアカウントに関する情報も確認されており、「Global Administrator」権限を持つユーザーの情報も含まれていたという。

　こうした情報が攻撃者の手に渡れば、誰がどの部署に所属し、誰が上位の権限を持っているのかを把握しやすくなる。Hudson Rockは、これらの情報がソーシャルエンジニアリングやスピアフィッシングなど、特定の人物を狙った攻撃の足掛かりになる可能性を指摘している。

侵入経路は不明　インフォスティーラー起点との見方も

　TheHatmanは、情報窃取に際して侵害された認証情報を使用したと説明しているが、認証情報の入手経路は明らかにしていない。

　考えられる経路としては、従業員の端末に感染したインフォスティーラーによるセッション情報や認証情報の窃取、管理者権限を狙ったフィッシング、多要素認証（MFA）の設定が不十分だったアカウントの悪用などだろう。外部APIや連携機能に過剰な読み取り権限が付与されていた場合、それらを悪用された可能性も考えられる。

　なお、Hudson Rockは、今回の被害企業のものと見られるインフォスティーラーへの感染を起点として侵害されたAzureの認証情報を確認したとしている。ただこれによって9社全てがインフォスティーラーに侵入されたと確定したわけではない。攻撃者が利用した具体的な認証情報や侵入経路については、引き続き調査が必要だ。

求められるのは「侵入後」ではなく認証情報流出の監視

　今回の事例からは、クラウド環境へのアクセスをMFAなどで保護するだけでなく、その手前にある従業員端末や認証情報の侵害にも目を向ける必要性が浮かび上がる。

　特にインフォスティーラーは、端末に保存された認証情報やブラウザのセッション情報などを窃取し、その情報が後続の攻撃に利用される可能性がある。認証情報が実際にクラウド環境で悪用される前に、漏えいの兆候を把握できれば、アカウントの無効化や認証情報のリセットなどにつなげられる。

　Hudson Rockは、インフォスティーラーによって流出した従業員、利用者、外部事業者などの認証情報を把握し、攻撃者による悪用前に検知することが重要だと指摘している。