Microsoft 365の2段階認証を突破するフィッシング攻撃が拡大、4500社超のドメインで被害の恐れ

要点

• フィッシングツール「Mirage2FA」を用いたサイバー攻撃により、4,500以上の組織ドメインが標的となったことが判明した。

• 標的となったメールアドレスの48%が侵害された可能性があり、被害を受けた組織の約64%が米国に集中している。

• 正規のMicrosoft 365認証フローを悪用してセッション情報を盗み出し、2段階認証をすり抜ける手口が確認された。

• セキュリティ企業ANY.RUNの調査により、テクノロジーや製造、教育分野をはじめ世界規模で攻撃が広がっている実態が浮き彫りになった。

• セキュリティ企業ANY.RUNの調査により、Microsoft 365のアカウントを標的としたフィッシング攻撃ツール「Mirage2FA」の被害が世界規模で拡大していることが明らかになった。2024年から2026年にかけて展開されたこのキャンペーンにより、4,500を超える組織のドメインが攻撃対象となり、深刻な不正アクセスのリスクに晒されているという。攻撃者は正規のログイン手順を悪用することで、2段階認証（2FA）を巧みに回避していると報告されている。

正規の認証手順を悪用して2段階認証を回避する手口

Mirage2FAは、「PaaS（Phishing-as-a-Service：フィッシング攻撃に必要なツールやインフラを有料で提供する形態）」として流通している市販のツールキットである。攻撃者はこのツールを用い、企業で広く利用されているMicrosoft 365のアカウント乗っ取りを狙っている。

最大の特徴は、ユーザーと正規サーバーの間に攻撃用サーバーを介在させる「AiTM（Adversary-in-the-Middle：通信の間に割り込んで情報を傍受する中間者攻撃）」の手法を取り入れている点にある。ユーザーが入力したIDやパスワードを盗み取るだけでなく、正規のログイン処理を経て発行される「セッションCookie（ログイン状態を維持するためにブラウザへ保存される一時的な識別データ）」までもリアルタイムで詐取する。

この仕組みにより、標的組織が2段階認証を導入していても、攻撃者は認証済みのセッションそのものを手に入れることができる。結果として認証手続きをそのまま通過し、正規ユーザーになりすましてクラウド環境へ侵入できてしまう構造だという。

被害は米国を中心に世界へ拡大、48%のアドレスが侵害の恐れ

ANY.RUNの調査によると、Mirage2FAによる活動は広範な地域と業界に及んでいる。これまでに確認された潜在的な被害対象は、4,532件の固有な組織メールドメインに達している。さらに、攻撃対象となったメールアドレスのうち、実に48%が実際に侵害された可能性があると分析されている。

被害の地理的分布を見ると、全体の63.7%を占める米国が突出して多い。しかし影響は北米にとどまらず、英国、カナダ、インド、シンガポール、サウジアラビア、南アフリカなど、世界各地の組織でも攻撃活動が観測されているという。業界別では、テクノロジー分野をはじめ、製造業や教育機関などが特に標的として狙われやすい傾向が示されている。

セッション強奪がもたらす広範な二次被害と攻撃インフラ

今回の調査では、パスワードやCookieの窃取、SSOログイン、2段階認証の回避を含む潜在的な侵害イベントが9,000件以上確認された。

認証済みセッションの乗っ取りは、単なる認証情報の漏洩以上の深刻な事態を引き起こす。攻撃者が一度Microsoft 365のセッションを手に入れると、企業のメールボックスを自由に閲覧・操作できるだけでなく、「SSO（シングルサインオン：単一の認証情報で複数の連携アプリにアクセスする仕組み）」で接続された他の社内システムやクラウドサービスへも侵入経路が広がってしまう。これにより、組織幹部へのなりすましメール送信や詐欺行為、さらなる内部侵入といった二次被害が発生し、事後対応や被害の封じ込めに多大なコストを要することになる。

また、攻撃インフラの分析においては、繰り返し用いられるローダー（不正コードを読み込むプログラム）や、難読化されたデータ、不審なWebSocket通信などが確認されている。ANY.RUNは、個別の「IOC（侵害指標：不正アクセスの痕跡を示すIPアドレスやドメインなどの情報）」を追跡するだけでなく、攻撃者が利用するインフラ全体の挙動を把握することが重要であると指摘している。

求められるセキュリティ対策のアプローチ

ANY.RUNは、Mirage2FAをはじめとするAiTM攻撃のリスクを軽減するために、認証方式の見直しと迅速な検知体制の構築が必要であると説明している。

具体的には、従来の2段階認証から、中間者攻撃でも突破されない「フィッシング耐性のある認証方式」への移行や、セッション管理の厳格化が推奨されている。また、セッションの盗難そのものを重大なアイデンティティ侵害インシデントとして認識し、監視を強化することが求められるという。

さらに、不審なメール添付ファイルやURLを受信した際には、「サンドボックス（隔離された安全な仮想環境でプログラムやWebページの挙動をテストする仕組み）」を活用し、不正なリダイレクトやスクリプトの実行、偽のログイン画面などを早期に特定・遮断することが被害抑止につながるとしている。