Microsoft 365を狙う大規模フィッシングが活発化、AitM技術とプロキシ悪用で財務メールを標的に

要点

• Microsoft 365アカウントを狙う、AitM技術を用いた大規模なフィッシングキャンペーンが活発化している。

• GoogleやAmazonなどの正規サービスを悪用した6段階のリダイレクトを経由し、認証システムを回避する。

• 侵入後は一般家庭の通信に見せかけるレジデンシャルプロキシを経由し、自動でセッションを維持し続ける。

• 攻撃の主な目的は、組織内の財務や給与に関連するメールデータの収集や、キーパーソンの特定である。

• セキュリティ企業のArctic Wolf Labsは2026年8月7日、Microsoft 365アカウントを乗っ取り、財務や給与に関するメールを窃取する大規模なフィッシングキャンペーンが活発化していると報告した。この攻撃は、通信に介在するAitM（Adversary-in-the-Middle：ユーザーと正規サーバーの間に攻撃者が介在して通信を横取りする手法）技術や、検知をすり抜ける自動化システムを駆使している。被害は米国、カナダ、欧州におけるヘルスケア、教育、製造、政府、専門サービスなどの広範な分野に及んでいる。

攻撃の背後と被害の状況

今回の攻撃は、Microsoftが「Storm-2755」として追跡し、「Payroll Pirate（給与海賊）」と呼ばれる金銭目的の脅威グループの活動と共通点がある。同グループはアカウントを乗っ取り給与振込先口座を変更する目的で2025年初頭から活動が報告されており、Microsoftは「Storm-2657」としても追跡中だ。Arctic Wolf Labsによると、2026年7月だけで数百の組織が標的となり、複数の環境で不正侵入が成功したという。

正規サービスを悪用した6段階のリダイレクト

攻撃は、留守番電話の通知を装った偽メールから始まる。受信者がリンクをクリックすると、検知回避のためにGoogleやAmazonなどの正規Webサービスを経由する6段階のリダイレクト（転送）処理が行われる。
具体的には、Google Meetの転送URL、Googleのアウトバウンドリンクを経由し、Campaign Managerのクリックトラッカーへと接続される。この遷移先はAmazon S3上のHTMLオブジェクトであり、そこから最終的にキャンペーン用のAitMフィッシングサイトへと誘導される。

AitMによる認証情報とフィンガープリントの窃取

誘導先はMicrosoft 365の認証画面を模倣したおとりページである。入力されたログイン情報や、多要素認証（MFA：パスワード以外の要素も組み合わせる認証方式）のコードは、正規サーバーとの通信を仲介する過程でリアルタイムに傍受される。
さらに、JavaScriptを用いてブラウザやOS、言語、クッキー（一時的なデータ保存の仕組み）などのフィンガープリント（端末仕様から個体を識別する情報）を収集。データはPHPサーバーに送信後、実際のMicrosoftのOAuth（安全にアクセス権限の認可を行う仕組み）認証エンドポイントへと転送される。

位置情報を利用した検知回避

攻撃者は侵入時に地理位置情報APIを用いてアクセス元の国コードを照会し、有効期限7日のクッキーに保存する。
その後、被害者と同じ国内のレジデンシャルプロキシ（一般家庭のIPアドレスを経由して通信を行う中継サーバー）からサインインを行う。検証では初期アクセスからわずか数分以内に実行されていた。地理的に一致したIPを装い、異常な場所からの接続を遮断するセキュリティ機能をすり抜けるためである。
一方で、サインインログには「Windows 10でのモバイル版Safari」など、不自然なOSとブラウザの組み合わせが記録されている。

自動化されたセッション維持と情報窃取

初期侵入から11〜24時間後、攻撃者は定期アクセスへ移行する。地理的位置やIP、自律システム番号（ASN：各ネットワークを識別するための固有番号）をローテーションさせながら、8時間の間隔で不正サインインを繰り返す。
このアクセスではアプリとしてMicrosoft Outlookが申告されるが、実際にはFirefoxやPythonのライブラリが使用されている。
IPアドレスが変わっても同じセッションID（通信の同一性を識別する管理データ）が保持されているため、自動化システムが乗っ取ったセッションを独立して更新・維持していると考えられている。攻撃者はこのアクセスを使い、給与や財務に関連するメールの収集活動を続けている。