Microsoft 365のトークンリプレイ攻撃、AitM中継により79組織に被害

2026年7月14日から9月22日までの間、攻撃者は敵対者中間（adversary-in-the-middle: AitM）中継を使用してMicrosoft 365のサインイントークンを窃取し、被害者のテナントに対してリプレイしました。Huntressがこの活動を追跡したところ、79組織が影響を受け、97アカウントが侵害され、数十台の不正なEntraデバイスが登録されました。

何が起きたか

Huntressは、このキャンペーンに関連する20万件以上のログイン試行を観測し、そのうち497件のMicrosoft 365サインインが成功しました。これらのセッションから、脅威アクターは最終的に97ユーザーアカウントを乗っ取り、被害者のMicrosoftディレクトリに少なくとも48台の偽コンピュータを登録しました。研究者らは、失敗した試行の大部分がIP範囲193.26.115[.]0/24に起因していることを特定し、初期の観測では193.26.115[.]221というルーマニアのアドレスが指摘されました。

アクセス権を取得後、攻撃者は永続性を維持し、将来のMFAチャレンジを回避するために、自身の認証アプリを追加しました。少なくとも19組織では、既存のMFA方法が削除され、最初の不正サインインから3時間以内に新しい方法が登録されました。2026年7月21日の事例では、「iPhone 13」とラベル付けされた認証アプリが、ハイジャック発生から51分未満で現れました。

侵入者はまた、「.」「sss」「d」などの名前を持つ隠し受信トレイルールを作成し、給与（payroll）、預金（deposit）、ボーナス（bonus）などのキーワードを含むメッセージを削除またはリダイレクトしました。一部のルールはRSSフィードや会話履歴などの不明瞭なフォルダにメールを移動させ、あるメールボックスでは、アカウントが送信スパムに使用される前に、すべての受信メッセージが既読マークを付けて削除されました。

仕組み

核心的な手法は、被害者に偽のMicrosoftログインページを表示する敵対者中間（AitM）中継です。ユーザーが資格情報を入力し、多要素認証（MFA）を完了すると、中継はそれらの入力を実際のMicrosoftサービスへ転送します。目的はパスワードを保持することではなく、正常なサインイン後にMicrosoftが発行するアクセストークンを捕捉することです。

トークンを捕捉した後、攻撃者は数分以内に自前のインフラストラクチャからそれをリプレイします。Huntressはこのパターンを「トークンスプレー」と呼んでいます。これは、多数の盗まれたトークンが複数の組織で大規模に再利用されるためであり、パスワードスプレーが1つのパスワードを多くのアカウントに対してテストするのと似ています。トークンはすでに認証を証明しているため、攻撃者はリプレイされたセッション中に再度MFAを解決する必要がありません。

トークンは、偽のサインインページの背後にあるAitM中継、デバイスコードフィッシングフロー、正規のログイン中のソーシャルエンジニアリングなど、複数のベクトルから取得されました。登録された不正デバイスは、盗まれたセッションが期限切れになるか失効しても、攻撃者が新しいトークンを要求するための持続的な経路を提供します。

主要な詳細

• タイムライン：Huntressの観測によると、2026年7月14日から9月22日。
• 範囲：79組織が影響を受け、97アカウントが侵害され、20万件以上の試行のうち497件のサインインが成功。
• インフラストラクチャ：失敗した試行は193.26.115[.]0/24に関連付けられており、初期IPである193.26.115[.]221はAsyncRATおよびドイツのホスティングプロバイダー1337 Services GmbHと関連しています。
• 永続性：攻撃者は少なくとも48台の不正なEntraデバイスを登録し、自身の認証アプリを追加しました。19組織では、MFA方法が3時間以内に置き換えられました。
• 回避策：短名やドットベースの名前を持つ隠し受信トレイルールにより、給与、預金、ボーナスを参照するメールが削除またはリダイレクトされました。
• 緩和ガイダンス：セッションの失効、パスワードのリセット、EntraデバイスとMFA方法の監査、受信トレイルールとエンタープライズアプリの確認、条件付きアクセスによるデバイスコードフローの制限。

なぜ重要か

Microsoft 365を管理するチームにとって、このキャンペーンは、トークンがインターセプトされリプレイされた場合、強力なMFAだけではアカウント乗っ取りを防げない可能性があることを示しています。この攻撃は、有効なログイン証明トークンを再利用することで通常の第二要素をバイパスし、新しいデバイスと認証器を登録することでアクセスを確立します。この組み合わせにより検出が困難になり、データ窃盗や悪用のウィンドウが拡大します。

運用上の影響は即座に現れます。侵害されたメールボックスはステルスルールによって沈黙させられ、財務関連の通信は消去され、アウトバウンドスパムは送信者の評判を損なう可能性があります。不正デバイスは手動で削除されるまでディレクトリに残り続けるため、クリーンアップにはパスワードリセットだけでなく、Entra登録、MFA登録、条件付きポリシーの慎重な監査が必要です。

対応策

• 疑わしいアカウントのアクティブセッションを失効させ、パスワードをリセットしてから再認証を強制してください。
• Entraデバイス登録を監査し、未知または不審なエントリ（最近追加されたコンピュータを含む）を削除してください。
• 影響を受けたユーザーのMFA方法をレビューし、見慣れない認証アプリや電話番号を削除してください。
• 短名や異常な名前の予期しない受信トレイルールを検索し、不明瞭なフォルダへのメールリダイレクトを確認してください。
• 条件付きアクセスポリシーを使用してデバイスコード認証フローを制限し、AitMおよびフィッシングリスクを低減してください。
• 条件付きアクセスを広範に適用してください：すべてのユーザー、すべてのクラウドアプリ、すべてのクライアントアプリタイプに対してMFAを要求するか、アクセスをブロックしてください。