Microsoft Security Researchは2026年9月9日、パスキーをテーマにしたソーシャルエンジニアリングを利用してユーザーアカウントを侵害し、その後クラウド内の情報へアクセスする攻撃活動について公表した。
Microsoftが確認した侵害では、不審なサインインの後に攻撃者が新しい認証方法を追加し、Microsoft Graphを利用した大量の操作、SharePointやOneDriveからのデータ取得、REST API経由でのメール収集などが行われていた。これは、攻撃者が単にパスワードを盗むだけでなく、クラウドIDそのものを乗っ取った後に複数サービスへ横断的にアクセスする現代的な攻撃手法を示している。
パスキーはフィッシング耐性を高める認証方式として普及が進んでいるが、「パスキーの登録」「認証設定の更新」などを装った案内によって利用者を誘導する攻撃が登場すれば、技術そのものが安全でも運用過程が攻撃対象になる。企業は認証技術を導入するだけでは十分ではない。
実務上は、新しい認証方法が追加された際の監視、異常なMicrosoft Graph利用、通常とは異なる大量ダウンロード、海外や未知の環境からのログインなどを組み合わせて検知する必要がある。また、管理者権限や重要データへのアクセスについては条件付きアクセスや最小権限設計を徹底することが重要だ。
今後、AIを利用したフィッシング文章や偽サイト生成の高度化により、認証関連のソーシャルエンジニアリングはさらに巧妙になる可能性がある。企業のセキュリティ対策は「パスワードを強くする」段階から、ID、端末、クラウド操作を継続的に監視するゼロトラスト型の運用へ移行する必要がある。
出典
Microsoft Security