CyberSecurityAction

サイバー攻撃トレンド / ソーシャルエンジニアリング2.0

パスキー詐欺でMicrosoftクラウドが乗っ取られる新手口

Microsoftが明らかにした2つのキャンペーンでは、CEOになりすました100万件超の詐欺メールと、パスキーを悪用したソーシャルエンジニアリングによるクラウド環境への侵入が確認されました。次世代認証の信頼を逆手に取る攻撃の実態を解説します。

喜村 圭佑（編集責任者）更新 約6分

SHARE

XB!in
パスキー詐欺でMicrosoftクラウドが乗っ取られる新手口

THREAT GAUGE算出基準

IMPACT（影響範囲）8.5
URGENCY（対応緊急度）8.0
EXPLOIT（悪用の容易さ）7.5

“クラウド全体に波及しうる。パスキーへの信頼を悪用した点が新規性”

01 · Overview

ニュースの概要

Microsoftは2026年9月、2つの大規模な攻撃キャンペーンの詳細を公表しました。一つはCEOになりすまして100万通以上の金融詐欺メールを送りつけた大量スパム作戦、もう一つはパスキー（次世代のパスワードレス認証）をテーマにしたソーシャルエンジニアリングでMicrosoftのクラウド環境に侵入しデータを窃取する攻撃です。「より安全」とされる認証技術を逆手に取る手口は、企業の担当者にとって見落としがちな新しいリスクとなっています。

第1のキャンペーンは2026年8月3日〜5日の3日間に集中して実施されました。攻撃者はサードパーティのメール配信インフラを悪用し、自社のCEOを装った詐欺メールを100万通以上送信しました。正規の配信基盤を経由することで、セキュリティフィルターをすり抜けやすくなっていたとみられます。

第2のキャンペーンはパスキーをテーマにしたソーシャルエンジニアリングを軸にしています。パスキーとはスマートフォンや端末に登録した生体認証などを使って、パスワードを入力せずにログインできる仕組みです。攻撃者はこのパスキーに関連する通知や画面を偽装し、ユーザーを騙してクラウド環境への認証情報やアクセス権を引き渡させようとします。

これらの攻撃が特に危険なのは、いずれも「正規の仕組みや信頼された技術」を悪用している点です。正規のメール配信サービスを踏み台にされると送信元ドメインの評価が高く見え、フィッシングフィルターの検知が難しくなります。また、パスキーは『フィッシングに強い』と広く認知されているため、それを騙る手口はユーザーの警戒心を下げる効果があります。

日本国内でもMicrosoft 365やAzureを業務に使う企業・官公庁は多く、対岸の火事ではありません。特に経営幹部を装ったビジネスメール詐欺（BEC）は日本でも増加傾向にあり、クラウド認証の設定不備と組み合わさるとデータ漏えいや不正送金につながるリスクがあります。

詐欺メール送信数
100万通以上
攻撃集中期間
2026年8月3〜5日
攻撃キャンペーン数
2件同時並行
悪用された技術
パスキー・正規メール配信基盤
標的環境
Microsoftクラウド（365/Azure）

情報源: The Hacker News（2026年9月13日公開）、Microsoftの公式開示内容をもとに構成しています。

02 · Analysis

詳細な原因解説

今回の攻撃が成立した根本的な要因のひとつは、「正規インフラの信頼」を攻撃者が巧みに利用した点にあります。サードパーティのメール配信サービスは多くの企業がマーケティングや通知に活用しており、その送信ドメインはセキュリティツールから信頼済みとして扱われることがあります。攻撃者がこの仕組みを悪用して詐欺メールを送ることで、受信者側のフィルタリングをすり抜けやすくなります。

パスキーに関するソーシャルエンジニアリングが成立する背景には、「新しい技術への過信」があります。パスキーはフィッシング耐性を持つとされますが、それはパスキー自体の認証フローに限った話です。パスキーへの移行を案内する偽の通知メールや偽サイトを通じて認証情報を騙し取る手口は、技術そのものの弱点ではなく人間の心理的な盲点を突くものです。

また、クラウド環境（特にMicrosoft 365やAzure）はアクセス権限が広範にわたるため、一度侵入されると影響がシステム全体に及びます。メールの閲覧にとどまらず、SharePointやTeamsのファイル、ひいてはさらなるシステムへの横移動（ラテラルムーブメント）が可能になります。この「侵入後の爆発半径の大きさ」が被害を深刻化させる本質的な要因です。

03 · Action

今からできる主な対策

明日からすぐ

1週間以内

05 · Forecast

今後起こりうる展開と対策

正規インフラの「代用」による検知回避

攻撃者は何を「代用（Substitute）」することで防御を突破したのか？

攻撃者は自前の怪しいメールサーバーを使う代わりに、正規のサードパーティメール配信インフラを「代用」しました。正規サービスの送信ドメインはセキュリティ製品から信頼されやすく、スパムフィルターや送信元認証（SPF/DKIM/DMARC）をすり抜けやすくなります。防御側は「送信元が正規ドメインだから安全」という前提を疑い、コンテンツや文脈も含めた多層的な判定が求められます。

パスキーの安全神話を「逆用」する心理操作

攻撃者はユーザーの「安心感」をどのように悪用（Adapt）したのか？

パスキーは「フィッシングに強い次世代認証」として広く普及し始めています。攻撃者はこの良いイメージを逆用し、パスキー設定を促す偽通知でユーザーの警戒心を下げました。「安全な技術の話だから怪しくない」という心理バイアスを突く手口であり、技術リテラシーが高いユーザーほど油断しやすい逆説的なリスクをはらんでいます。

クラウド侵入後の「爆発半径」が被害を拡大させる

なぜクラウド環境への侵入は、一点突破で組織全体に影響するのか？

Microsoft 365やAzureは、メール・ファイル・チャット・業務システム認証が一つのアカウント体系で統合されています。攻撃者が一つのアカウントを乗っ取るだけで、メール傍受・SharePointのファイル窃取・Teamsを通じた内部者へのなりすましが可能になります。この「統合による利便性」が被害の爆発半径を広げる構造的なリスクであり、最小権限の原則と条件付きアクセスによる封じ込めが不可欠です。

信頼チェーンの弱点がシステム全体のリスクになる

「正規インフラを悪用された」という事象はどのような連鎖を引き起こすか？

正規のメール配信業者→受信企業のセキュリティ製品→エンドユーザーという信頼チェーンが存在します。攻撃者がチェーンの上流（配信業者）に潜り込むと、下流のすべての防御が機能を失います。この構造はサプライチェーン攻撃と本質的に同じであり、「使用しているSaaSサービスが踏み台にされた場合」のリスクシナリオをあらかじめ想定した対策設計が必要です。

クラウド認証とメールフィルタリングの多層防御

Microsoftクラウド環境を守るうえでの最優先事項は、Azure AD（Entra ID）の条件付きアクセスポリシーを適切に設定することです。デバイスコンプライアンス確認・特定地域からのアクセス制限・リスクベースの認証強化を組み合わせることで、たとえ認証情報が盗まれても不正ログインを食い止めやすくなります。

メールフィルタリングについては、SPF・DKIM・DMARCの3つの送信元認証をセットで設定・確認し、さらにサードパーティの配信ドメインを無制限に信頼しない運用ポリシーを設けることが重要です。正規サービスからの送信であっても、内容の文脈やリンク先を検査するサンドボックス型の解析を導入しましょう。

最後に、パスキーを含むMFAに関する社内教育を定期的に行ってください。「フィッシングに強い技術」を騙るフィッシングという逆説的な手口について、実際の画面例を用いたトレーニングが有効です。技術的対策と人的対策の両輪を回すことが、今回のような高度な攻撃への最も現実的な備えになります。

06 · AI Prompt

AI対策プロンプト

あなたは企業のセキュリティ担当者です。以下の状況を前提に、[組織名]のMicrosoftクラウド環境（[対象サービス]）を対象とした、パスキーフィッシングおよびCEOなりすましメール攻撃への対策を検討してください。 【組織情報】 - 組織名: [組織名] - 規模: [従業員規模] - 主な利用クラウドサービス: [対象サービス] - 現在のMFA設定状況: [MFA設定状況] 以下の観点で具体的な対策を提案してください。 1. 攻撃者がサードパーティメール配信インフラを悪用する手口への対処（メール認証設定の確認・強化） 2. パスキーへの移行を装ったソーシャルエンジニアリングへの従業員教育の要点 3. クラウドアカウントが乗っ取られた場合の初動対応手順（最初の30分でやること） 4. 条件付きアクセスや監査ログを活用した早期検知の具体的な設定例 出力は経営層への報告にも使えるよう、技術的な詳細と経営リスクの両面から記述してください。

プロンプトのカスタマイズ

以下を入力すると、上のプロンプトに反映されます。

対策を検討する組織・企業の名称

主に利用しているMicrosoftクラウドサービス名

組織の従業員数または規模感

現在の多要素認証の導入・設定状況

キーワード

  • パスキーフィッシング
  • Microsoftクラウド
  • ビジネスメール詐欺
  • ソーシャルエンジニアリング
  • クラウドアカウント乗っ取り

SOURCES · 参考情報源