2026-05-26
FBIが警告するKali365フィッシングキットの脆弱性
FBIが発表したKali365フィッシングキットに関する警告は、Microsoft 365アカウントを狙った攻撃手法の危険性を浮き彫りにしています。このキットは、正規のMicrosoftデバイス認証ページを悪用し、ユーザーを騙してアカウントへのアクセスを許可させる手法を用いています。特に、マルチファクター認証（MFA）が有効であっても、攻撃者はアクセス・トークンを取得することで持続的なアクセスを確保できるため、MFAの信頼性が問われています。Microsoftは、パスキーなどのより強固な認証方法への移行を進めていますが、Kali365の存在はその必要性を強調しています。
メトリクス
このニュースのスケール度合い
7.5
/10
インパクト
7.5
/10
予想外またはユニーク度
7.0
/10
脅威に備える準備が必要な期間が時間的にどれだけ近いか
9.0
/10
このニュースで行動が起きる／起こすべき度合い
9.0
/10
主なポイント
- ✓ Kali365は、Microsoft 365アカウントを狙ったフィッシングキットであり、正規の認証ページを悪用します。
- ✓ この攻撃手法は、マルチファクター認証をバイパスし、持続的なアクセスを可能にします。
社会的影響
- ! この警告は、企業や政府機関にとって、MFAの導入が単なる形式的な対策ではないことを示しています。
- ! フィッシング攻撃の手法が進化する中で、組織はより強固な認証方法を採用する必要があります。
編集長の意見
Kali365の警告は、現代のサイバーセキュリティにおける重要な教訓を提供しています。特に、マルチファクター認証（MFA）が導入されているからといって、必ずしも安全であるとは限らないことを示しています。攻撃者は、ユーザーの信頼を利用して、正規の認証フローを悪用する手法を用いています。このような手法は、従来のフィッシング攻撃よりも巧妙であり、ユーザーが不審に思うことなく情報を提供してしまう可能性があります。したがって、組織はMFAを導入するだけでなく、その効果を最大限に引き出すための対策を講じる必要があります。具体的には、パスキーやFIDO2セキュリティキーなど、フィッシング耐性のある認証方法を採用することが推奨されます。また、ユーザー教育も重要です。ユーザーがフィッシング攻撃の手法を理解し、疑わしいリンクや要求に対して警戒心を持つことが求められます。さらに、組織は条件付きアクセスポリシーやトークン保護、デバイスのコンプライアンスチェックを実施し、セキュリティを強化する必要があります。Kali365のような攻撃が増加する中で、アイデンティティ管理が企業のセキュリティの最前線であることを認識し、適切な対策を講じることが求められます。
背景情報
- i Kali365は、フィッシング・アズ・ア・サービス（PaaS）として提供され、サイバー犯罪者がMicrosoft 365アカウントを狙うためのツールです。このキットは、ユーザーを正規のMicrosoftの認証フローに誘導し、アクセス・トークンを取得することで、MFAが有効でもアカウントに持続的にアクセスできるようにします。
- i Microsoftは、パスキーや生体認証などのより安全な認証方法への移行を進めています。これにより、フィッシング攻撃に対する耐性が向上し、ユーザーのデバイスに結びついた認証が実現されます。