「パスキー更新」を餌にした多段BEC＋クラウド乗っ取り——数日で100万通超、第三者配信基盤が悪用されました

今日の深掘りポイント

• 攻撃は二段構えです。第一段はCEOなりすましでの資金移動詐欺、第二段は「パスキー／MFA更新」を口実にクラウドアカウントを乗っ取る社会工学です。
• 送信基盤は第三者のメール配信インフラです。DMARC/ SPF/ DKIMが整っていても、ドメインなりすましでなく「正規基盤からの大量送信」に見えるため、標準的なゲートウェイ判定をすり抜けやすいです。
• パスキー（WebAuthn/FIDO2）そのものが破られたのではありません。パスキーを“口実”にユーザー行動を誘導し、偽サインインや通話での強要によりセッションや認証手段を奪取する点が本質です。
• 日本企業ではACHは直接関係しない場面もありますが、支払口座変更・ベンダーマスタ改ざん・請求書すり替えというBECの常套パターンに直結します。経理・購買・情シスの横断統制が勝負を分けます。
• いま優先すべきは、送信ドメイン認証の厳格化に加え、「認証手段の登録・リセット」をCAで保護すること、そしてトークン・セッション窃取を前提にした検知・失効の自動化です。

はじめに

Microsoftクラウドを狙う二つの大規模キャンペーンが同時進行で観測されています。ひとつはCEOを装った資金移動詐欺メールを第三者の配信基盤経由でばらまく手口、もうひとつは被害者の個人電話に直接連絡し「パスキーやMFAの更新」を迫って偽のサインインに誘導し、Microsoftアカウントを乗っ取る社会工学です。8月3日から5日の短期間に100万通以上が送信され、ITサービス、消費財、不動産、製造が主標的と報じられています。これらの詳細はMicrosoftの分析をもとに報道されたもので、数日で数百万通規模という攻撃面の広さと、BECからクラウド横展開まで一気通貫で狙う“面と点”の組み合わせが特徴です［参考: The Hacker Newsの報道］です。

本件のメトリクスを総合的に見ると、緊急性と実運用での対処可能性が極めて高く、しかも攻撃成功時の業務・財務インパクトが大きいタイプだと位置づけられます。つまり「今すぐ打てる強化策」を先に実装し、そのうえで中期的なアイデンティティ基盤の耐性向上に投資する二段ロールアウトが現実解です。

深掘り詳細

事実関係（確認できていること）

• 攻撃は二系統です。
  • 系統A: CEOなりすましの詐欺メールを大量送信し、経理部門にACH送金を促すBECです。
  • 系統B: ユーザーの個人電話に攻撃者が直接連絡し、「パスキーやMFAの更新」を口実に偽のサインインを行わせ、Microsoftアカウントを乗っ取る社会工学です。
• 2026年8月3〜5日の間に100万通以上の詐欺メールが送信されています。
• 主に狙われた業種はITサービス、消費財、不動産、製造です。
• 配信には第三者のメール配信インフラが悪用されています。
• 出典はMicrosoftの分析内容をもとにした報道です［The Hacker News］です。
  • 参考: Attackers Use Passkey Phishing to Hijack Microsoft Cloud Accounts（The Hacker News）

編集部のインサイト（仮説を含む）

• 「パスキー更新」名目は“技術突破”ではなく“心理突破”です。パスキーは本来フィッシング耐性が高い方式ですが、攻撃者は更新・失効・セキュリティ強化といった正当性のある物語を与えることで、ユーザーに通常では踏まないステップ（リンク踏み→偽画面→承認、通話での口頭承認）を踏ませます。パスキー自体を攻略するのではなく、人のプロセスとサポート運用の継ぎ目を攻略しているのがポイントです。
• 第三者配信基盤の悪用は、メールセキュリティの“評判ベース”や“SPF/DKIM/DMARC整合チェック”の限界を突きます。ドメインなりすましではなく、正規に見える送信路からの大量送信は、遅延型の評判シグナルが効くまでの短期間で搾取を完了させる「時間差攻撃」になりやすいです。
• クラウド乗っ取り後の最短ルートは、セッション窃取（AiTM）と認証要素の差し替え（MFAリセット・別要素の登録）です。ここを守るには「ユーザーがセキュリティ情報を登録・変更する行為」を条件付きアクセスで強くガードすること、そしてトークン保護・継続的アクセス評価を有効活用して、仮に奪われたセッションでも再評価・失効に持ち込む設計が重要です。
• 日本企業における実害は、ACHの代わりに「支払先口座変更」「請求書差替え」「与信・出荷停止の連鎖」などに現れます。経理の二経路確認（コールバックは“台帳にある既知番号”へ）や、ERP/購買システムにおけるベンダーマスタ更新のワークフロー強化が、技術対策と同列に重要です。

脅威シナリオと影響

以下は、MITRE ATT&CKに沿って整理した仮説シナリオです。実環境ではバリエーションがあり得ますが、優先度付けの参考にしてほしいです。

• シナリオ1：BECでの直接的な資金詐取
  • 初期アクセス/配布: Phishing（T1566）によるCEOなりすましの送信です。
  • コマンド/制御不要の業務詐欺: メールスレッド挿入・偽請求書の提示・緊急性の強調です。
  • 影響: 不正送金、サプライヤ関係の毀損、監査対応コストの増大です。
• シナリオ2：AiTM＋セッション悪用によるクラウド乗っ取り
  • 初期アクセス: Phishing（T1566）＋電話による社会工学（多チャネル）です。
  • 中間者: Adversary-in-the-Middle（T1557）での偽プロキシや類似ドメインです。
  • 認証迂回: Steal Web Session Cookie（T1539）→ Use Alternate Authentication Material: Web Cookies（T1550.004）です。
  • 永続化/防御回避: Account Manipulation（T1098）やEmail Forwarding Rulesの設定（Email Collection: T1114.003）です。
  • 影響: メール・OneDrive/SharePoint・Teamsを起点に横展開、データ流出・さらなるBECです。
• シナリオ3：アカウント乗っ取り後の横展開と権限昇格
  • 認可の悪用: OAuth同意の強要やアプリ登録（Create Cloud Account/Resource: T1136.003 相当）です。
  • 発見と収集: Cloud環境のアカウント・グループ・共有リンクの列挙（Account Discovery/Permission Groups Discovery）です。
  • 影響: 権限昇格、外部共有の拡大、情報持ち出しによる長期的な情報優位確立です。

本件は、即応性が問われるインシデントタイプです。成功確率が高く、成功時の被害額・二次被害の広がりも大きいため、いまは「防御線を厚くする」よりも「乗っ取りを前提とした検知・失効・復旧の速さ」を上げる投資が費用対効果で勝ちます。

セキュリティ担当者のアクション

以下は優先度順の実務チェックリストです。可能な限り“設定名”や“運用の着地点”まで落として書きます。

• メール防御（BEC対策の土台）

  • 自社ドメインのDMARC p=reject、SPF・DKIM整備、外部委託ドメインも含めアライメントを厳格化します。
  • 侵入側の第三者配信基盤を想定し、Defender for Office 365の「なりすまし保護・ユーザーインパーソネーション」ポリシーを強化します。
  • 高リスク送信者・AS（大手配信事業者含む）からの“短期間の大量送信＋決済関連キーワード”をトリガーに、件名・本文の審査とサンドボックス強制をかけます。
  • MTA-STS/TLS-RPTで配送経路の暗号化と運用健全性を可視化します。

• アイデンティティ・アクセス（クラウド乗っ取りの急所を固める）

  • 条件付きアクセス（CA）の強化
    • ユーザーの「セキュリティ情報の登録・変更（Register security info）」と「MFAリセット／デバイス登録」を、社内ネットワークかつ準拠デバイス＋高強度認証（認証強度ポリシー）のみに制限します。
    • 財務・ERP・ベンダーマスタ更新用アプリは、地点ベースとデバイス準拠＋フィッシング耐性要素（FIDO2/デバイス結合パスキー）を必須化します。
  • 認証手段のガバナンス
    • FIDO2/パスキーは許可AAGUIDやエンタープライズ管理キーに限定します。個人デバイス由来の登録を抑止します。
    • Microsoft Authenticatorは番号マッチング・地理/アプリ名表示を必須化し、プッシュ連打防御（レート制御・スマートロックアウト）を有効化します。
    • 「一時アクセスパス（TAP）」の発行は、二名承認＋チケット必須＋短寿命で運用します。
  • セッション・トークン防御
    • Continuous Access Evaluation（CAE）とトークン保護（利用可能な場合のデバイス／クライアント境界へのバインディング）を有効化します。
    • サインインリスク・ユーザーリスクに応じた再認証とブロックをID Protectionで自動化します。
  • レガシー遮断
    • 基本認証は完全無効化し、IMAP/POP/SMTP AUTHも原則ブロックします。

• 検知・ハンティング（“乗られた後”の速攻検知）

  • Entra IDのAuditLogs/SignInLogs
    • 短時間での「新規MFA/パスキー登録」「セキュリティ情報変更」「不審なIP/ASN・不連続ジオ」イベントを相関検出します。
    • リスクサインインの直後に「新規受信トレイルール」「外部転送設定」の組み合わせを高優先度アラートにします。
  • Exchange/Teams/SharePoint
    • New-InboxRule、ExternalForwardingEnabled、共有リンクの外部拡大（匿名・組織外）を監視し、初回検出で自動ロールバックします。
  • OAuth/アプリ同意
    • 新規アプリ登録・高権限スコープへの同意・サービスプリンシパル作成を監視し、明示的承認フロー外の同意をブロックします。

• 業務プロセス（BECの本丸は業務です）

  • 支払・口座変更は「二経路確認（台帳にある既知番号にコールバック）」「二人承認」「休業日前後の高額支払は追加承認」を徹底します。
  • 経理・購買のメールには「外部」「請求」「口座」「至急」「更新」などの組合せで自動ラベルと注意喚起バナーを付与します。
  • ヘルプデスクは「MFAリセット・認証手段登録依頼」に対し、本人性の強力な再確認（社員証＋別チャネル＋上長承認）を標準化します。

• 体制・対外連携（第三者配信基盤の課題に向き合う）

  • 海外配信事業者からの濫用兆候（突然の大量同一件名、類似ドメイン、短命ドメイン）を、SOCで監視指標化します。
  • ISP/配信事業者・業界ISAC・JPCERT/CCなどとの情報連携ルートを整備し、サンプル・ヘッダ・ヘッダ受領時刻を即時共有できる運用にします。
  • 弊社ドメインのブランド保護（類似ドメイン監視・DMARCレポート分析）を四半期レビューのKPIに載せます。

• もし今すでに怪しい兆候があるなら（即応プレイブック）

  • サインインログの地理・ASN異常と「直後のセキュリティ情報変更」「新規受信トレイルール」を迅速相関します。
  • 当該アカウントの全セッション失効、パスワードリセット、MFA再登録、リスクの再評価を自動フロー化します。
  • メールボックスの外部転送と共有リンクを棚卸しし、異常をロールバックします。
  • 取引先への注意喚起文案（「口座変更は無効」「新請求書は破棄」）を準備済みテンプレートから即時配信します。

最後に強調したいのは、「パスキーが破られた」のではなく「人と運用の継ぎ目が突かれた」という点です。だからこそ、フィッシング耐性の高い要素を“どこで・どう使わせるか”を設計し直し、同時に「認証手段の登録・復旧」という裏口を厳格に守ることが、今回の系統Bに最も効く防御線になります。メールの世界は国境を軽々と越えます。日本の組織としては、技術設定の最適化と、業務ルールの二重化、そして対外連携のスピードアップを“三点セット”で回すことが肝要です。

参考情報

• Attackers Use Passkey Phishing to Hijack Microsoft Cloud Accounts（The Hacker News）: https://thehackernews.com/2026/09/attackers-use-passkey-phishing-to.html

本稿は公開情報に基づき編集部で分析したもので、一部に仮説を含みます。最新のベンダーアドバイザリやテレメトリに照らして、自社環境への適用可否を判断してくださいませ。