正規認証が悪用される？ Microsoft 365の権限を奪う「デバイスコードフィッシング」とは

Microsoft 365を標的としたデバイスコードフィッシング攻撃が流行している。攻撃者が正規の認証プロセスを悪用し、多要素認証を回避してアクセス権を奪取する手口だ。高度なツールが用いられており、企業や政府機関を含む広範な組織が標的になっている。

[David Jones，Cybersecurity Dive]

　「Microsoft 365」は利用者が多く、企業の内部情報を奪おうとするサイバー攻撃者にとって魅力的な標的だ。

　メールセキュリティソリューションなどを提供するProofpointが2025年12月18日（現地時間、以下同）に公開したレポートによると（注1）、複数の脅威グループが「デバイスコードフィッシング」と呼ばれる手法を用いた攻撃を実行しており、ユーザーをだまして「Microsoft 365」のアクセス権を奪っているという。中国とロシアに関係するサイバー攻撃者が、ここ数カ月にわたり攻撃を実行してきた。

デバイスコードフィッシングは何が危険なのか

　サイバー攻撃のアプローチは3つに分類できる。システムの脆弱（ぜいじゃく）性を突くか、人の心理の隙を突くか、DDoSのようにリソースを枯渇させるかだ。

　デバイスコードフィッシングはクラウドサービスにアクセスするための正規の認証機能を悪用した攻撃だ。これまでのフィッシング攻撃と同様、人の心理を突く。

　では、従来のフィッシング攻撃との違いは何だろうか。これまでは電子メールなどのアドレスを確認して怪しいドメインの場合は開かないといった対応が可能だった。しかし、デバイスコードフィッシングは正規のドメインを利用するため、このような対策は役に立たない。多要素認証を導入したとしていてもユーザー自ら正規の方法でログインするため、やはり対策にならない（キーマンズネット編集部）

　Proofpointはデバイスコードフィッシングをどのように評価しているのだろうか。

正規認証が悪用される？　Microsoft 365の権限を奪う「デバイスコードフィッシング」とは

　Proofpointのサラ・サボトカ氏（主任脅威リサーチャー）は『Cybersecurity Dive』に次のように語った。

　「デバイスコードフィッシングは、正規で信頼されている認証アクセスのワークフローを悪用するソーシャルエンジニアリングの手法だ」

　Proofpointによると、まず、ハイパーリンクのあるテキストに埋め込まれたURLや、QRコード内に含まれたURLを記載したメッセージがユーザーに送り付けられる。ユーザーがリンクにアクセスしてしまうと、Microsoftの正規のデバイス認証プロセスを利用した一連の攻撃が始まる。

　Proofpointの説明では、プロセスが開始されると、ユーザーにデバイスコードが提供される。コードは遷移先のページや2通目の電子メールで送られてくる。そして、ユーザーにデバイスコードをワンタイムパスワードとして入力するよう促す。ユーザーが入力してしまうとトークンが検証されて、攻撃者がMicrosoft 365のアカウントへのアクセス権を取得するという流れだ。

　脅威グループは「SquarePhish2」や「Graphish」といったフィッシングツールを使用して攻撃を仕掛けている。Graphishを使うと、攻撃者は本物そっくりのフィッシングページを簡単に作成できる。これらのページは、「Microsoft Azure」のアプリ登録機能やリバースプロキシを悪用して、ユーザーと正規サービスの通信の間に割り込む中間者攻撃を実行する。

　Proofpointは「TA2723」という名称で追跡されている攻撃者が、攻撃用の悪意あるツールをハッキングフォーラムで販売していると警告した。研究者は2025年10月初旬に始まったキャンペーンで、攻撃者がSquarePhish2を展開していたことを確認した。また、Graphishを使用した別のキャンペーンも確認されているようだ。

　「UNK_AcademicFlare」という名称で追跡されているロシア寄りのグループは、2025年9月に最初に確認されたキャンペーンに関与している。攻撃では、複数の政府機関や軍事組織から盗まれた電子メールのアカウントが利用されて、米国や欧州の政府、シンクタンク、高等教育機関、運輸分野を標的とした。

　Microsoftは今回の調査についてコメントしなかったが、2025年2月に公開した過去の調査レポートへのリンクを提供した（注2）。そのレポートには、「Storm-2372」として追跡されているロシアと関係するグループによるデバイスコードフィッシングのキャンペーンが詳しく記述されている。このグループは2024年8月以降、さまざまな手法を用いて同様の攻撃を継続してきた。

　また、Microsoftは「Microsoft Teams」を狙った脅威に関する2025年10月時点のガイダンスも公開している（注3）。

出典：State-linked and criminal hackers use device code phishing against M365 users（Cybersecurity Dive）
注1：Access granted: phishing with device code authorization for account takeover（Proof Point）
注2：Storm-2372 conducts device code phishing campaign（Microsoft）
注3：Disrupting threats targeting Microsoft Teams（Microsoft）

原文へのリンク