Microsoft 365の休眠サービスアカウントを狙う攻撃が発生、初期パスワード放置で7件のアカウントが侵害被害に

要点

• セキュリティ企業のProofpointが、Microsoft 365環境を標的とした総当たり攻撃キャンペーン「UNK_CondorFiltration」の詳細を公表した。

• 攻撃者は1,487件のAWS EC2インスタンスと侵入テストツール「TeamFiltration」を悪用し、28テナント・5,700以上のアカウントを攻撃した。

• 侵害された7件のアカウントはすべてMFA（多要素認証）が未設定で、IT部門が設定した初期パスワードが変更されていない放置されたサービスアカウントだった。

• 侵入成功から2分未満で社内VPNやAzure Portalの調査、Graph APIトークンの要求など迅速な探索行動が確認された。

• セキュリティ企業のProofpointは2026年9月、Microsoft 365環境のアカウントを標的とした総当たり攻撃キャンペーン「UNK_CondorFiltration」に関する調査結果を明らかにしました。この攻撃は主にチリの小売業者や金融機関を標的に行われ、28のMicrosoft 365テナントに属する5,700件以上のアカウントに対して組織的な認証試行が実行されたと報告されています。

• 調査によると、攻撃によって侵害された7件のアカウントはいずれも一般従業員の個人アカウントではなく、業務処理用に作成されたまま放置されていた機能アカウントやサービスアカウント（プログラムやシステムが業務処理を実行するために利用する専用アカウント）であったことが確認されました。これらのアカウントは多要素認証が導入されておらず、初期パスワードが変更されないまま運用されていたことが侵入の原因になったと分析されています。

3つの波で展開された大規模な認証試行

Proofpointの分析によると、今回の総当たり攻撃は2026年7月下旬から8月中旬にかけて、大きく3つの波に分けて段階的に展開されました。送信元としては、1,487個におよぶ固有のAmazon Web Services（AWS）EC2インスタンスのIPアドレスが使用されていたことが判明しています。

第1波は7月21日から24日にかけて行われ、チリの大手銀行2社を対象に1日あたり100〜120件前後のアカウントを標的とした試行が観測されました。続く第2波は7月26日から28日にかけて別のチリ大手金融機関へ向けて行われ、7月27日には約1,520件のアカウントが標的となるピークを記録した後に急減しました。そして第3波となった8月13日から16日にはチリの大手小売業者が標的となり、8月15日に約1,560件のアカウントへの攻撃が集中しました。この大手小売業者に対する認証試行は、キャンペーン全体で観測された全認証イベントの78.3%を占めており、結果として7件のアカウント侵害につながったと説明されています。

狙われた「忘れ去られたサービスアカウント」

攻撃の特徴として、個人従業員のアカウントではなく、管理が不十分な休眠状態のサービスアカウントが集中的に狙われた点が挙げられます。一般従業員のアカウントには定期的なパスワード変更が義務付けられることが多いのに対し、業務運用向けに発行されたサービスアカウントは設定後に継続的な監視が行われず、初期設定時の認証情報がそのまま維持される傾向にあります。

証拠によると、攻撃者はIT部門によって初期発行された後に一度も変更されていないデフォルトパスワードを用いて、パスワードスプレー（単一または少数のパスワードを多数のアカウントに一斉に試行してロックを回避する手法）を仕掛けたとみられています。侵害された7件のアカウントのうち6件はわずか7分という短時間で侵入されており、個別の標的型攻撃ではなく、共通の初期パスワード群を一斉に試行した結果として突破された可能性が高いと報告されています。

侵入テストツール「TeamFiltration」の悪用と侵入後の挙動

今回の攻撃活動では、「TeamFiltration」と呼ばれるツールが悪用されました。TeamFiltrationは、Microsoft Entra ID（クラウド型のID・アクセス管理サービス）環境においてアカウントの列挙やパスワードスプレー、データの外部送信、バックドアの設置などを検証するために設計された正規のオープンソース侵入テストツールです。このツールを用いることで、攻撃者はメールアカウントの有効性を検証し、一般的なパスワードを多数のアカウントに対して効率的に試行することが可能になります。

侵害に成功したアカウントの多くで、攻撃者はMicrosoft Office、OneDrive、Teamsへのアクセスを試みており、機密データの収集や外部流出を狙っていた可能性が示唆されています。ただし、サインインの記録が存在すること自体は、実際にデータが外部へ持ち出されたことの確定的な証拠とはいえないとProofpointは補足しています。

さらに、アカウントの侵害に成功してから2分も経たないうちに、攻撃者はドイツ国内のVPNノードへと接続元を切り替え、企業VPNポータルの認証エンドポイント（「vpn.[redacted].cl/SAML20/SP」）の調査、Azure Portalへのアクセス、SharePoint Onlineの閲覧、さらにはMicrosoft Graph APIの認証トークン取得要求などを素早く開始していたことが確認されました。

過去の攻撃事例とアイデンティティ管理への警鐘

TeamFiltrationが悪用された事例は今回が初めてではありません。Proofpointは2025年6月にも、「UNK_SneakyStrike」と名付けられた脅威クラスタに関する詳細を発表しています。この過去の事例では、同ツールを用いて数百の組織にまたがる8万件以上のMicrosoft Entra IDアカウントが攻撃対象となっていました。

Proofpointは今回の事例を受けて、企業のアイデンティティ境界における最大の弱点は、フィッシング詐欺に遭った従業員やゼロデイ脆弱性（修正プログラムが未提供の未知の欠陥）だけではないと指摘しています。業務の利便性のために一度作成された後、見直されることなく放置されたサービスアカウントこそが、構造的に防御が手薄な攻撃対象領域になっていると報告書で述べています。

補足

サービスアカウントをはじめとする非人間IDは、システムの自動連携などの目的で日常的に作成される一方で、多要素認証（MFA）の適用が技術的・運用上の理由で免除されやすい側面を持っています。