Microsoft 365アカウントを狙い、給与、財務、人事に関係するメールを収集する大規模なフィッシングキャンペーンが確認されています。
Arctic Wolf Labsが2026年8月6日に公開した調査によると、攻撃者は中間者型フィッシング(Adversary-in-the-Middle:AiTM)を利用してMicrosoft 365の認証セッションを奪い、侵害後は給与、人事、財務、管理部門に関係する利用者を探索して、請求書、支払い、銀行口座、福利厚生、社内文書などに関するメールを収集していました。
Arctic Wolfは2026年7月だけで数百の組織がフィッシングメールの標的になったとしています。対象は米国、カナダ、欧州の医療、教育、製造、政府、専門サービスなど幅広い業種に及び、実際の侵害も複数の環境で確認されました。
ただし、「数百組織が侵害された」という意味ではありません。一次情報で確認できるのは、数百組織がメールによる攻撃対象となり、その中で複数の侵害が確認されたという内容です。侵害組織の総数は公開されていません。
今回の活動は、MicrosoftがStorm-2755として追跡する「Payroll Pirates」と技術面、行動面で大きく重なります。一方、Arctic Wolfは両者を同一の攻撃者と断定しておらず、今回観測した活動をStorm-2755そのものとして帰属させてはいません。この違いは、攻撃グループを扱ううえで重要です。
今回のMicrosoft 365フィッシングの概要
| 項目 | 内容 |
|---|---|
| 主な対象 | Microsoft 365アカウント |
| 初期侵入 | ボイスメール通知を装うフィッシングメール |
| 認証手法 | 中間者型フィッシング(AiTM) |
| 主な目的 | 給与、財務、人事などに関連するメールの収集 |
| 対象地域 | 米国、カナダ、欧州 |
| 対象業種 | 医療、教育、製造、政府、専門サービスなど |
| 2026年7月の標的 | 数百組織 |
| 侵害後の特徴 | 住宅用プロキシ、セッション維持、Microsoft Graphによる偵察、メール収集 |
| 実悪用 | 実際のMicrosoft 365アカウント侵害を確認 |
このキャンペーンの特徴は、アカウントを侵害した直後に大量の迷惑メールを送信したり、目立つ設定変更を行ったりするのではなく、長時間にわたって静かにセッションを維持し、財務情報へ関係する利用者とメールを選別していた点です。
一般的なビジネスメール詐欺(Business Email Compromise:BEC)では、侵害したアカウントから他の従業員や取引先へメールを送り、送金や口座変更を依頼する行動が目立ちます。しかしArctic Wolfが調査した大半の侵害では、多要素認証(Multi-Factor Authentication:MFA)方式の変更、端末登録、パスワード変更、横展開のためのフィッシングメール送信、受信トレイルール作成などは確認されませんでした。
こうした目立つ操作を避けることで、通常のBEC対策だけでは侵害を発見しにくくしていたと考えられています。
ボイスメール通知を装ってMicrosoft 365へ誘導
初期侵入には、企業の自動音声通知サービスを装うフィッシングメールが使われました。メールにはMicrosoftのロゴや、偽の発信者情報、日時、通話時間、参照番号などが記載され、受信者にボイスメールを確認するよう促します。
利用者がリンクを開くと、複数のリダイレクトを経由した後、攻撃者が管理するAiTM認証プロキシへ誘導されます。
Arctic Wolfの観測では、この経路にはGoogle Meet、Googleの外部リンク処理、Google Ads関連のクリック追跡、Amazon S3など正規サービスのインフラが途中段階として利用されていました。正規ドメインを複数経由することで、単純なURL評価やドメイン評価だけでは最終的なフィッシング先を判断しにくくなります。
重要なのは、これらのGoogleやAmazonのサービス自体が侵害されたという意味ではないことです。攻撃者が、正規サービスに備わるリダイレクトやホスティング機能を攻撃経路の一部として悪用していました。
AiTMは「偽のログイン画面を作るだけ」のフィッシングではない
従来型の認証情報窃取では、Microsoft 365に似せた偽ページを用意し、利用者が入力したIDとパスワードを盗む手法が一般的です。
今回のAiTMでは、攻撃者のサーバーが利用者とMicrosoftの正規認証サービスの間に入り、実際のMicrosoft認証をリアルタイムで中継します。利用者から見るとMicrosoftの認証処理が進み、必要であればMFAも実行されます。
しかし、その通信が攻撃者のAiTMプロキシを経由するため、認証成功後に発行されるセッション情報を攻撃者側で取得できる場合があります。攻撃者はそのセッションを再利用し、追加のID、パスワード、MFA入力を求められずにMicrosoft 365へアクセスできる可能性があります。
これは「MFAの暗号が破られた」「Microsoftの認証基盤が侵害された」という意味ではありません。認証後のセッションを中継・取得することで、フィッシング耐性を持たないMFAの保護を実質的に回避する手法です。
MicrosoftもStorm-2755の分析で、AiTMは認証フロー全体をリアルタイムで中継し、認証済みセッションのCookieや、認可フレームワークであるOAuth 2.0のアクセストークンを取得できると説明しています。
アクセス元を被害者の国に合わせる住宅用プロキシ
Arctic Wolfが今回特に注目しているのが、住宅用プロキシの利用です。
AiTMページでは、アクセスしたブラウザーの種類、OS、画面サイズ、言語、タイムゾーン、Cookie利用可否など複数の環境情報が取得されていました。また、アクセス元の国情報も確認されていました。
その後の制御された検証では、被害者と同じ国にある住宅用プロキシの出口から不審なMicrosoft 365サインインが発生しました。Arctic Wolfは、取得した国情報が後段で地理的に近いプロキシを選択するために利用された可能性があると評価しています。
ただし、サーバー側で国情報がどのように使われたかを直接確認したわけではありません。そのため「国情報を必ずプロキシ選択に利用している」と断定することはできません。
住宅用プロキシを利用すると、企業から見た接続元がデータセンターや匿名化サービスではなく、一般家庭のインターネット回線や携帯通信網に見える場合があります。さらに被害者と同じ国から接続すれば、「普段と異なる国からのログイン」といった単純な検知条件を回避しやすくなります。
約8時間間隔で同じセッションを維持
侵害後の動きにも特徴があります。
Arctic Wolfによると、最初の異常な活動から通常11～24時間後、不審なサインインが約8時間間隔で繰り返されるようになりました。アクセス元の住宅用プロキシ、インターネット事業者、地域は変化している一方で、同じセッション識別子(SessionID)が維持されるケースが確認されています。
この組み合わせは、攻撃者が中央の自動化基盤から盗んだセッションを定期的に維持していたことを示す重要な兆候です。
さらに、一部のサインインではMicrosoft Outlookをクライアントアプリケーションとして報告しているにもかかわらず、通常想定されるものとは異なるブラウザーやHTTPクライアントの識別情報が使われていました。
単一のIPアドレスだけを遮断しても、住宅用プロキシが切り替われば追跡は困難です。このためArctic Wolfは、IPアドレスだけではなく、SessionID、ユーザーエージェント、サインイン周期、地域変化などを組み合わせた行動ベースの検知を推奨しています。
Microsoft Graphで給与・財務担当者を探索
Microsoft 365へのアクセス確立後、攻撃者はMicrosoft Graphを利用して、テナント内の利用者情報を調査しました。
Microsoft Graphは、Microsoft 365やMicrosoft Entraなどのデータへアクセスするためのアプリケーションプログラミングインターフェース(Application Programming Interface:API)です。正規の業務アプリケーションや管理ツールでも広く利用されています。
今回の攻撃では、利用者属性などから給与、人事、財務、管理部門に関係するアカウントを特定する偵察が確認されました。その後、給与、請求書、支払い、銀行、福利厚生、社内文書などに関係するメールがアクセスされています。
Arctic Wolfは監査ログのMailItemsAccessedイベントを分析し、単にメールボックスを一覧表示しただけではなく、具体的なメッセージが開かれたり取得されたりしたことを確認しています。
また、異なる組織の侵害アカウントで、メールアクセスが数十秒という非常に近い時間帯に集中する例もありました。この同期性から、複数組織のメール収集が中央の自動化基盤から制御されていた可能性が高いと評価されています。
大半の侵害ではメール送信やMFA変更をしない
今回のキャンペーンが検知しにくい大きな理由が、侵害後の活動を意図的に限定している点です。
Arctic Wolfが調査した大半のケースでは、攻撃者はセッション維持、利用者の偵察、メール収集に集中していました。
MFA方式の変更、新しい端末の登録、パスワード変更、他の利用者へのフィッシングメール送信、不審な受信トレイルール作成といった、アカウント侵害でよく見られる行動は大半のケースで確認されていません。
これらはセキュリティ製品やセキュリティ運用センター(Security Operations Center:SOC)がアカウント乗っ取りを検知する際に利用しやすい兆候でもあります。攻撃者が目立つ変更を避ければ、正規利用者のメール閲覧に近い活動として埋もれる可能性があります。
ただし、一部の侵害では人間の攻撃者が直接操作し、特定のメールを削除済みアイテムへ自動移動して既読にする受信トレイルールを作成した事例も確認されています。
Storm-2755との関係
今回のキャンペーンは、MicrosoftがStorm-2755として追跡するPayroll Piratesと大きな共通点があります。
Microsoftが2026年4月に公開したStorm-2755の調査では、主にカナダの利用者を対象としてMicrosoft 365アカウントを侵害し、給与や人事の業務を探索した後、給与振込先を攻撃者の口座へ変更する活動が確認されました。
Storm-2755もAiTMを使って認証済みセッションを奪い、侵害後に給与、人事、財務などの情報を探索します。そのためArctic Wolfは、今回の活動とStorm-2755に「重要な技術的・行動的重複」があると評価しています。
一方、初期侵入や侵害後の行動には違いがあります。
Microsoftが報告したStorm-2755では、検索結果の汚染や悪意ある広告を利用してMicrosoft 365の偽ログインへ誘導し、最終的には給与振込先の変更による直接的な金銭窃取まで確認されています。
今回Arctic Wolfが観測したキャンペーンでは、ボイスメール通知メールが初期侵入に使われ、大半の侵害で活動はメール収集までに限定されていました。
したがって、「今回の攻撃者はStorm-2755」と断定するのではなく、「Storm-2755と重要な共通点を持つ活動」と表現するのが適切です。
「MFAを有効にしているから安全」ではない
今回の事例は、MFAそのものを不要とするものではありません。パスワードだけの認証と比較すれば、MFAは依然として重要な防御策です。
しかし、SMS、ワンタイムパスワード、承認通知など、利用者が認証操作を完了するとセッションが生成される方式では、AiTMプロキシを介したリアルタイム中継に弱い場合があります。
Arctic WolfとMicrosoftはいずれも、フィッシング耐性を持つMFAの利用を推奨しています。具体的には、公開鍵暗号に基づくフィッシング耐性認証規格群FIDO2のセキュリティキー、Windows Hello for Business、証明書ベース認証などです。
これらの方式では認証を正規サービスのドメインや端末に結び付ける仕組みがあり、攻撃者の偽ドメインを経由して認証情報やセッションを中継するAiTMへの耐性を高められます。
管理者が優先して確認すべき対策
1.侵害が疑われる場合はセッションを無効化する
AiTMではパスワードだけでなく認証済みセッションが攻撃者に利用される可能性があります。
そのため、疑わしいアカウントのパスワード変更だけで対応を終えず、既存のアクティブセッションを失効させる必要があります。Arctic Wolfは、侵害が確認された場合にセッション失効、認証情報の変更、MFAの再登録を行うよう推奨しています。
2.給与・人事システムの操作履歴も確認する
メールボックスだけを調査するのでは不十分です。
今回の活動は給与、財務、人事情報を探索しています。また、関連するStorm-2755では、Workdayなどの人事・給与サービスで振込口座を変更し、実際に給与が攻撃者側へ送金された事例があります。
侵害期間が疑われる場合は、給与振込先、銀行口座、福利厚生、人事情報の変更履歴を確認し、特に身に覚えのない振込先変更を優先して調査する必要があります。
3.Microsoft 365監査ログを確認する
Arctic Wolfは、Microsoft 365の統合監査ログ、Microsoft Entra IDのサインインログ、メールアクセスログを横断して確認することを推奨しています。
単一の異常なログインだけではなく、同じSessionIDが複数の住宅用IPアドレスや地域から利用されていないか、約8時間間隔の非対話型サインインが続いていないか、Microsoft Outlookとして記録されたアクセスに不自然なクライアント情報がないかなどを組み合わせて確認します。
Microsoft Defender XDRを利用する環境では、Microsoft Graphを利用した不審なExchange Online偵察を検知するアラートも確認対象になります。
4.フィッシング耐性MFAへ移行する
可能な利用者からFIDO2、Windows Hello for Business、証明書ベース認証などのフィッシング耐性MFAへ移行します。
特に財務、人事、給与、管理者など、侵害時に金銭や重要情報へ直結するアカウントは優先度を上げるべきです。
なお、Windows Hello for Businessも端末自体が侵害された場合のあらゆる攻撃を防ぐものではありません。認証方式だけに依存せず、端末管理、アクセス制御、サインイン監視を併用する必要があります。
5.条件付きアクセスで管理端末を要求する
Microsoft Entraの条件付きアクセス(Conditional Access)を利用し、Microsoft 365へのアクセスを準拠済み端末やMicrosoft Entraハイブリッド参加済み端末へ限定することも有効です。
適切に構成された場合、攻撃者が自分の管理する端末やプロキシ環境から盗んだセッションを再利用する際の障壁になります。
ただし、ポリシーの除外設定、対象外アプリケーション、古い認証方式などが残っていると保護が抜ける可能性があります。実際の適用範囲を確認してください。
6.継続的アクセス評価を有効化する
Microsoft Entraの継続的アクセス評価(Continuous Access Evaluation:CAE)は、利用者リスクの変化や認証情報の無効化などを受けて、対応アプリケーションのアクセスを短時間で再評価する仕組みです。
盗まれたトークンやセッションの利用可能時間を減らすため、Arctic WolfとMicrosoftはいずれもCAEの活用を推奨しています。
今回の攻撃で重要なポイント
今回のMicrosoft 365攻撃は、「怪しい国からログインした」「侵害アカウントから大量のメールが送信された」といった分かりやすい兆候だけを監視している環境では見逃す可能性があります。
攻撃者は住宅用プロキシを使って接続元を一般利用者に見せ、被害者と同じ国からの接続を利用し、侵害後も大半のケースでパスワード変更やMFA変更、横展開メールといった目立つ操作を避けました。
一方、自動化された攻撃には独特の痕跡も残ります。同じSessionIDが異なるIPアドレスや地域で使われる、一定の時間間隔でセッションが維持される、Microsoft Graphで特定の職務を探索する、複数組織のメール取得時刻が短時間に集中するといった行動です。
そのため、今後のMicrosoft 365侵害対策では、個々のログインイベントだけを見るのではなく、ID、セッション、Microsoft Graph、メールボックスへのアクセスを一連の行動として関連付けて監視することが重要になります。
まとめ
Arctic Wolf Labsは、Microsoft 365を狙う大規模なAiTMフィッシングキャンペーンを確認しました。2026年7月には数百組織がメールによる標的となり、米国、カナダ、欧州の複数業種で実際のアカウント侵害が確認されています。
攻撃者はボイスメール通知を装って利用者をAiTM認証プロキシへ誘導し、Microsoftの正規認証フローを中継して認証済みセッションを取得します。その後は住宅用プロキシを使ってセッションを維持し、Microsoft Graphで給与、人事、財務担当者を探し、関連するメールを収集していました。
今回の活動はMicrosoftがStorm-2755として追跡するPayroll Piratesと大きな共通点を持ちますが、同一の攻撃者であることは確認されていません。また、数百組織が侵害されたという報告でもありません。
Microsoft 365管理者は、フィッシング耐性MFA、条件付きアクセス、CAEを組み合わせるとともに、疑わしい場合はパスワード変更だけでなく既存セッションの失効まで実施してください。監視面では、Microsoft Entra ID、Microsoft 365監査ログ、Microsoft Graph、メールアクセスを横断し、セッション単位の異常を確認することが重要です。
コメント