2026-09-04
Microsoft 365のダイレクト送信バイパスにより攻撃者が内部ユーザーを偽装可能に
Microsoft 365のメールセキュリティ制御において、攻撃者が認証なしで内部ユーザーを偽装することができるダイレクト送信バイパスの手法が発見されました。この手法は、SMTPフィールドを空白にすることで実現され、Exchange OnlineのRejectDirectSend設定をターゲットにしています。この脆弱性はMicrosoftソフトウェアやReliaQuestシステムの脆弱性ではなく、制御がダイレクト送信トラフィックを評価する際の制限を露呈しています。攻撃者は、内部のように見えるアドレスを使用してスピアフィッシングメッセージを作成し、組織内のユーザーを騙すことが可能です。
メトリクス
このニュースのスケール度合い
7.0
/10
インパクト
6.5
/10
予想外またはユニーク度
7.0
/10
脅威に備える準備が必要な期間が時間的にどれだけ近いか
8.5
/10
このニュースで行動が起きる／起こすべき度合い
8.0
/10
主なポイント
- ✓ 攻撃者は、SMTPのP1フィールドを空白にすることで、内部ユーザーを偽装したメッセージを送信することができます。
- ✓ この手法は、特に経営陣や顧客対応の役割を持つ従業員をターゲットにしたスピアフィッシング攻撃に利用されています。
社会的影響
- ! この脆弱性は、企業の内部コミュニケーションの信頼性を損なう可能性があります。
- ! 攻撃者による内部ユーザーの偽装は、企業の財務や機密情報に対するリスクを高めます。
編集長の意見
このMicrosoft 365のダイレクト送信バイパスは、企業のメールセキュリティにおける重要な課題を浮き彫りにしています。攻撃者が内部のように見えるメッセージを送信できることは、特に経営陣や重要な役割を持つ従業員をターゲットにしたスピアフィッシング攻撃において、非常に危険です。企業は、RejectDirectSendを有効にすることが重要ですが、それだけでは不十分であることを認識する必要があります。特に、許可された送信者リストや安全な送信者リストの見直し、フィッシング判定を覆す可能性のある例外の管理が求められます。また、攻撃者が利用する可能性のある空のエンベロープ送信者を特定するための検出エンジニアリングも重要です。今後、企業はダイレクト送信を明示的に承認されたインフラストラクチャに制限し、特に偽装されやすいユーザーに対する信頼の例外を排除することが、より堅牢な防御策となるでしょう。メールの受信、認証の検証、スパム分類、受信ボックスへの配置は、別々の制御ポイントであることを理解し、包括的なセキュリティ戦略を構築することが求められます。
背景情報
- i Microsoft 365のダイレクト送信は、プリンターやスキャナーなどのデバイスが認証なしで同じテナント内の受信者にメールを送信するために設計されています。RejectDirectSendは、匿名のダイレクト送信メッセージを拒否するための設定ですが、攻撃者はこの設定を回避する方法を見つけました。
- i ReliaQuestの調査によると、攻撃者は空のエンベロープ送信者を使用することで、RejectDirectSendの評価を回避し、内部のように見えるアドレスを使用してメッセージを送信することができます。