主なポイント

✓ このフィッシングキャンペーンは、ボイスメールをテーマにしたフィッシングメールを使用し、被害者をAitMの偽ページに誘導します。
✓ 攻撃者は、Microsoft Graph APIを利用して給与や財務に関連するユーザーを列挙し、メールボックスから情報を収集します。

社会的影響

! この攻撃は、企業の財務データや個人情報が危険にさらされる可能性があるため、社会全体に影響を及ぼします。
! 特に医療や教育分野では、個人情報の漏洩が深刻な問題を引き起こす可能性があります。

編集長の意見

このフィッシングキャンペーンは、特に企業の財務データを狙ったものであり、攻撃者が高度な技術を駆使していることが特徴です。AitM手法を用いることで、攻撃者は被害者の認証情報を巧妙に取得し、長期間にわたってセッションを維持することが可能になります。これにより、企業は早期に攻撃を検知することが難しくなります。さらに、攻撃者はMicrosoft Graph APIを利用して、特定のユーザーに対してターゲットを絞り込むことができるため、被害の拡大が懸念されます。今後、企業はこのような攻撃に対抗するために、より強固なセキュリティ対策を講じる必要があります。具体的には、従業員への教育や、フィッシングメールの検出能力を向上させるための技術的な対策が求められます。また、MFA（多要素認証）の導入を徹底し、異常なログイン試行に対する監視を強化することも重要です。これにより、攻撃者の活動を早期に発見し、被害を最小限に抑えることが可能となります。

解説

住宅プロキシで「正規のサインイン」を装うM365 AitM、給与・財務メールを狙いセッションを繋ぎ止める新機軸です

今日の深掘りポイント

フィッシング耐性のないMFAは、AitM（Adversary‑in‑the‑Middle）で容易に回避され、攻撃者はセッションCookieを奪取・維持します。8時間周期の自動再認証という運用痕跡は、検知ロジックの鍵になります。
住宅用プロキシでサインイン元を一般消費者トラフィックに偽装し、IP評判や地理ベースの制御をすり抜けます。条件付きアクセスは「ネットワーク＋デバイス＋認証方式」を束ねた多層で設計すべきです。
侵害後はMicrosoft Graph APIで給与・財務担当の特定やメール収集に直行します。Graph呼び出しのふるまい監視（検索語・集約頻度・時間帯）は、BEC/送金詐欺の前兆を捉える現実解になります。

はじめに

ボイスメール通知を装うリンクを踏んだ瞬間から、攻撃者のリバースプロキシ越しに正規のMicrosoft 365ログイン画面が開き、ワンタイムコードを含む認証一式が盗まれ、気づけばExchangeもSharePointも「正規ユーザーとして」見られている——AitMはそんな時代のフィッシングです。今回のキャンペーンは、住宅用プロキシをかませて「よくある消費者の回線」からのアクセスに見せかけ、約8時間ごとに自動で侵害セッションを更新し続ける粘着質な運用が特徴です。標的は米国・カナダ・欧州の医療、教育、製造、政府、専門サービスなど広範な業種にまたがる数百組織で、狙いは給与・財務メールの収集と、それを起点にした支払い変更や送金詐欺です。

編集部としては、この「地味だが効く運用」こそ、現場の検知と阻止の出番だと見ています。攻撃者の時間軸（8時間周期）と目的軸（給与・財務の選別）に沿って、可視化と制御を差し込む余地が十分にあるからです。

深掘り詳細

事実関係（報道から読み解けること）

ボイスメールをテーマにしたフィッシングからAitM偽ページへ誘導し、MFAを含む認証フローをプロキシ越しに中継・窃取します。
攻撃者は住宅用プロキシを使い、悪意のサインインを一般消費者由来のIPに擬態します。これにより、単純なIP評判やASNベースの防御が鈍ります。
侵害後は約8時間ごとに自動化されたサインインでセッションを維持し、Microsoft Graph APIを用いて給与・財務関連の担当者を特定、メールボックス内の情報を収集します。
影響は米国・カナダ・欧州で数百組織規模に及び、医療・教育・製造・政府・専門サービスまで広範です。

出典: The Hacker Newsの報道

インサイト：MFA時代の「セッション」防御と運用痕跡の活用

MFAを破るのではなく「通過した後ろからセッションを盗む」のがAitMの本質です。したがって、パスワード強化やTOTPベースのMFA追加だけでは限界があり、FIDO2/パスキー等のフィッシング耐性MFAや、デバイスに結び付いたトークン保護のような「セッションの横取りを無効化する」層が決め手になります。
約8時間という周期性は偶然ではなく、実運用に即した「セッション維持ジョブ」の存在を示唆します（仮説）。この周期は、検知のための時間窓や相関ロジック（例：新規IP＋同一UA＋高感度Graphスコープの連続呼び出し）を設計する実務的なフックです。
Graph APIの利用は痕跡を残します。検索語（invoice, wire, routing, bank, payrollなど）、短時間の高頻度アクセス、組織図/グループの列挙とメール収集の連鎖など、BECの準備行為はふるまい分析で捉えやすいです。ログ基盤が整っていれば、ここはブルーチームが主導権を取り返せる領域です。

検知・ハントの具体論（現場向けの観点）

アイデンティティ：
- 8時間±1時間の周期で同一アカウントに現れる新規IPのサインイン成功イベントをクラスタリング。
- サインイン元ASNが住宅系プロキシ事業者に集中する偏りの有無（既知リストがあれば活用、なければ急増ASNをフラグ）。
メール・Graphふるまい：
- 侵害直後の短時間におけるMessageSearch/Folder traversal/Users/Groups列挙のバースト。
- 給与・支払関連キーワードのメッセージ検索と外部ドメイン宛の転送・前方プロキシ（自動転送ルール、仕分けルール）作成試行。
相関：
- 新規デバイスIDまたは未管理端末＋未知ASN＋高機密メールボックスアクセスの三点相関。
- 通常業務時間外（現地時間夜間）に限定して出現するGraphの高ボリューム化と、その後の外部送信先変更要求メールの増加。

脅威シナリオと影響

以下は報道を基にした仮説シナリオです。MITRE ATT&CKの観点で技術要素を位置づけます。

初期侵入
- ボイスメール通知を装ったリンクによる誘導（Spearphishing Link）。
- AitMリバースプロキシで正規のM365認証フローを中継し、MFA通過後のセッションCookieを窃取（Adversary-in-the-Middle, Steal Web Session Cookie, Pass-the-Cookie）。
資格情報の悪用・持続化
- 盗んだセッション素材で正規ユーザーとしてサインイン（Valid Accounts/Use of Alternate Authentication Material）。
- 約8時間ごとの自動再認証でセッション維持（運用仮説）。
- 住宅用プロキシでサインイン元を偽装（Proxy）。
内部偵察と収集
- Microsoft Graphでユーザー・グループの列挙（Account/Group Discovery）。
- 給与・財務担当を特定し、メールボックスを検索・収集（Remote Email Collection）。
行動の隠蔽と目的達成
- 仕分け/転送ルールで被害者やSOCの目をそらしつつ、支払い先変更や送金依頼の下地を作成（Defense Evasion/Email Manipulation）。
- BEC/送金詐欺の実行。海外拠点や複数通貨フローでは、決裁プロセスの一時的な混乱が高額被害につながるリスクがあります。

影響面では、単発のメール流出にとどまらず、- 給与口座変更、- 仕入・委託先の支払先差し替え、- 税務・保険の個人情報（二次不正利用）といった、財務・人事業務の実害に直結します。多国籍企業ではタイムゾーンや言語差を突かれて「即日送金」要求がすり抜けやすく、国際決済の信用にも波及します。

セキュリティ担当者のアクション

優先度順・時間軸で整理します。技術と業務の両輪で臨むのが早道です。

24時間以内（緊急対応）
- 重要ロール（財務・給与・購買・経理）を対象に、強制サインアウトとセッション無効化、パスワード変更、MFA再登録を実施します。
- サインインログを用い、8時間周期・未知ASN・同一UAのクラスターを抽出し、該当アカウントを一時隔離します。
- メールボックスの自動転送/仕分けルール、外部転送の有効化状態を全件点検し、異常は即時削除・ブロックします。
- 財務部門へ「口座変更・緊急送金は電話でコールバック確認」とする一時ルールを発令し、進行中の支払い案件を棚卸します。
7日以内（短期の恒久化）
- フィッシング耐性MFA（FIDO2/パスキー等）を財務・役員・管理者ロールに義務化し、条件付きアクセスで「高リスク時は耐性MFAのみ許可」を導入します。
- 条件付きアクセスで「準拠デバイス＋信頼済み拠点＋強いMFA」の組合せを必須化し、未知ASN/住宅系プロキシの遮断を検討します（ブロックが難しい場合はステップアップ認証や隔離セッションを適用）。
- Graph/APIの利用監視を強化し、給与・財務関連キーワードの検索や短時間バースト、ユーザー/グループ列挙の連鎖を高リスクとしてアラート化します。
- メールセキュリティで「ボイスメール通知」を装うテンプレートの高感度検知（件名・音声添付・短縮URLの組合せ）を追加します。
30～60日以内（構造改善）
- トークン保護/デバイスバインド型セッション（利用可能なIdP機能）を評価・適用し、盗難Cookieの再利用を原理的に無効化します。
- 財務・購買の決裁プロセスを見直し、- 支払先変更は二重承認＋非メールチャネル検証、- 緊急送金はコールバック必須、- ベンダーマスタ更新は分離職務、を制度化します。
- 監査・検知工学を整備し、- 8時間周期のサインイン、- 住宅ASNの急増、- Graphの検索語分析、- 仕分け/転送ルールの変更、を定期ハントの標準メニューに組み込みます。
- 攻撃演習（AitM前提のフィッシング、およびBECプレイブック）を年2回以上実施し、SOC/財務/事業部の横断対応を磨きます。
実装のヒント（ベストプラクティス）
- メールの自動転送は原則禁止、仕分けルールの外部通知・削除は監査対象にします。
- 「高額・海外・新規先」の3条件に当たる支払いは支払保留のSLAを設定します。
- ログ保持は少なくとも90日、できれば180日以上を確保し、Graph/API・サインイン・メールボックス監査を相関可能にします。

メトリクス全体から見ても、この問題は新規性よりも「直ちに手が打てる」「現実に起きている」点が重い課題です。言い換えると、完璧な網羅対策を待つより、リスクの高い役割（財務・給与）に深い対策を素早く重ねることが、被害最小化の近道です。攻撃者の運用（8時間更新、住宅プロキシ、Graphでの選別）に寄り添った検知・阻止を、まずは重点領域に差し込みましょう。

参考情報

Microsoft 365 AitMフィッシングがアカウントを乗っ取り給与や財務メールを収集（The Hacker News）

背景情報

i AitMフィッシングは、攻撃者が被害者の認証情報を取得するために、正規の認証フローを模倣する手法です。この手法では、被害者がログインする際に、攻撃者がそのセッションを乗っ取ることが可能になります。
i 最近の攻撃では、GoogleやAmazonのサービスを利用して、フィッシングページへのリダイレクトを行い、被害者のブラウザ情報を収集する手法が用いられています。これにより、攻撃者はセキュリティ対策を回避しやすくなります。