マイクロソフト、生成AI悪用のCEOなりすまし詐欺とパスキー更新を騙るクラウド侵害の手口を公表

要点

• マイクロソフトは、クラウド環境の侵害や金銭詐取を狙う2件の大規模なサイバー攻撃キャンペーンの詳細を公表した。

• 1つ目は生成AIで作成された偽の請求書とメール履歴を用い、CEOになりすまして100万通超の送金要求メールを送る手口である。

• 2つ目はITヘルプデスクを装ってパスキーや認証設定の更新を迫り、従業員からMicrosoftアカウントを乗っ取る手口である。

• アカウントに侵入した攻撃者は独自の認証方法を追加して永続化を図り、SharePointやOneDrive、メールボックスからAPI経由でデータを大量に窃取していた。

• 米マイクロソフトは2026年9月、同社のクラウドサービスや企業ユーザーを標的とした2つの異なるサイバー攻撃キャンペーンについて調査結果を公表した。信頼された配信基盤を悪用した役員なりすましによる請求書詐欺と、パスキー更新を口実にクラウド環境へ侵入してデータを窃取する手口が明らかになった。同社のセキュリティ研究チームが公式ブログなどで分析内容を報告している。

生成AIと役員なりすましを組み合わせた送金詐欺

公表された1つ目のキャンペーンは、企業の経理部門を標的とした送金詐欺である。マイクロソフトの報告によると、攻撃者は2026年8月3日から5日にかけて、標的企業のCEO（最高経営責任者）などを装った100万通以上の詐欺メールを一斉に送信したという。

この攻撃では、標的企業の買掛金担当者に対し、米ServiceNowの年間サブスクリプション料金を支払う名目で、ACH（Automated Clearing House：米国の銀行間電子決済ネットワーク）による送金を実行させようとしていた。

攻撃の特徴として、生成AI（人工知能）を活用してメールテンプレートや標的に合わせた文面を作成していた形跡が確認されている。攻撃者は事前に標的組織のCEOやCFO（最高財務責任者）、社長などの氏名やメールアドレスを調査し、それらをメールの署名欄に組み込むことで信憑性を高めていた。

さらに、単一の文面で騙す従来の詐欺とは異なり、役員による偽の承認が含まれるメールのやり取りや偽造請求書をメール内に埋め込むなど、多層的な偽装が行われていた。受信者の警戒心を解く巧妙な筋立てが構築されていたという。攻撃には信頼されたサードパーティのメール配信インフラが悪用され、事前に「service-nowinc[.]com」や「domainlify[.]net」といった正規ブランドを装うドメインが取得されていた。標的となったのは主に米国の組織で、ITサービス、消費財、不動産、個別製造業などの業界に及んでいる。

パスキー更新を騙るITサポート詐欺と中間者攻撃

2つ目のキャンペーンは、企業のアイデンティティとクラウド環境の直接的な侵害を狙った攻撃である。マイクロソフトによると、この活動は2026年5月以降に検知されているという。

攻撃は、従業員の個人の電話番号宛てに電話やメッセージを送るソーシャルエンジニアリングから始まる。攻撃者は社内のITヘルプデスクを名乗り、業務アクセスの中断を避けるためとして、パスキー（パスワードを使わずに生体認証等で安全にログインする認証技術）やMFA（Multi-Factor Authentication：多要素認証）、SSO（Single Sign-On：シングルサインオン）の設定を直ちに更新するよう促す。

指示に従った従業員にはSMS経由でリンクが送られ、正規のMicrosoftサインイン画面を模倣した偽サイトへ誘導される。攻撃者の目的は、この口実を使ってユーザーをAitM（Adversary-in-the-Middle：通信の間に攻撃者が割り込んで認証情報を奪う中間者攻撃）やデバイスコード認証フローへ誘導することにある。これにより、認証情報を直接奪うか、あるいはユーザーに気づかれないまま攻撃者へのアクセス権を承認させ、Microsoftアカウントの制御権を奪取していた。

侵入後の認証手段の追加と自動化されたデータ窃取

攻撃者はアカウントの乗っ取りに成功すると、侵害したアカウントに対して自身が管理する認証方法を密かに追加し、永続的にアクセスできる状態を確立していた。

その後、攻撃者はMicrosoft Graph（Microsoft 365のデータや各種機能にアクセスするための統合API）を集中的に呼び出し、SharePointやOneDriveから大量のファイルをダウンロードしたほか、REST APIを通じてメールボックス内のデータを収集していた。マイクロソフトは、この一連の活動について、プロキシに関連付けられたインフラを介して侵害したアカウントから自動的にデータ収集を行う手口と一致していると説明している。