設定ミスでサーバー露呈、Microsoft 365を狙う3つのフィッシング作戦が判明

要点

• フィッシング攻撃者のサーバー設定ミスにより、攻撃ツールやログなどのデータが一般公開状態になっていた。

• セキュリティ企業の調査から、Microsoft 365の認証情報を狙う3つの独立したフィッシング作戦が判明した。

• 攻撃にはオープンソースのプロキシツール「Evilginx」のカスタムフォークが使用され、多要素認証（MFA）を回避する設計が施されていた。

• 判明した手法の中には、パスワードを使わず正規のデバイスコード送信フローを悪用してMFAを突破するものも含まれていた。

• フランスのセキュリティ企業Lexfoは2026年7月13日、Microsoft 365アカウントを標的としたフィッシング攻撃者のサーバーにおいて、設定ミスにより管理データが一般公開状態になっていたことを明らかにした。この漏洩情報を端緒とした調査により、同一のツール群を共有する3つのフィッシンググループによる詳細な攻撃手法が判明した。いずれのグループも、多要素認証（MFA：ログイン時に複数の方式で本人確認を行う仕組み）を回避するための高度なツールを使用していたという。

• 調査のきっかけは、稼働中のフィッシングサーバーにおいて、公開ポート上でPythonのWebサーバーが起動し、ディレクトリ内のファイル一覧を表示する「ディレクトリリスティング（サーバー内のフォルダ階層をブラウザ上に表示する機能）」が有効化されたまま放置されていたことだった。Lexfoの報告によると、この設定ミスを引き起こしたコマンド python3 -m http.server 8080 は、サーバー内のコマンド履歴ファイル .bash_history にそのまま残っていた。

• このミスにより、サーバー上のフィッシング設定ファイル、窃取された認証情報ログ、リモート管理ツールのインストーラー、IDとパスワードのリスト、バックアップアーカイブ、さらには攻撃者自身のTelegramセッションファイルなどが閲覧可能な状態になっていた。このサーバーは、ハンガリーのブダペストにあるIPアドレス 185.163.204[.]7 で稼働しており、2026年4月下旬の定期的なインターネットスキャンによって発見された。

• Lexfoの分析により、このサーバーを運営していたのは「codemado」と名乗るエジプト人の攻撃者であることが判明した。同人物は2018年からインターネット電話（VoIP）関連やハッキングのフォーラムで活動しており、現在は picis[.]net というドメインでMicrosoft 365を標的とした「AiTM（Adversary-in-the-Middle、通信の間に割り込んで認証情報を奪う手法）」プラットフォームを運営している。さらに、自作の一斉メール送信ツール「MaDoO Blaster」を用いて、奪取したアカウントへのアクセス権を販売し収益化していたという。

• codemadoの作戦は2026年4月20日に開始され、サーバーの露出が確認された4月30日以降も、新たなサブドメインの取得や証明書の更新を行いながら稼働し続けた。ログからは、フランスと北米の企業に所属する2つのMicrosoft 365アカウントが標的となり、セッション情報が繰り返し奪取されていたことが確認されている。これは、奪取したセッションの有効期限が切れる前に、攻撃者が異なるIPアドレスからセッションを更新（リフレッシュ）していたためとみられる。

• また、codemado自身が攻撃ツールをゼロから開発したわけではなく、他の開発者がGitHub上で公開していたリポジトリからクローンして使用していたことも明らかになった。問題のサーバーからは4つの「Evilginx（多要素認証を突破するために設計されたオープンソースのフィッシング用プロキシ）」のカスタムフォークが見つかっており、それらを開発した2人の開発者もそれぞれ独立してフィッシング作戦を展開していた。

• その一人であるナイジェリアの攻撃者「mail-argenta」が開発したカスタムフォーク「red-queen」は、極めて高度にカスタマイズされていた。「SRI（Subresource Integrity）」というWebリソースの改ざんを防ぐブラウザのセキュリティ機能のチェックをすり抜けるため、HTML内の属性名を変更する処理が組み込まれていた。また、パスベースの検出を回避するためにプロキシ側のソースコードにURL書き換えエンジンを追加したほか、被害者が途中で入力を諦めるのを防ぐためにメールアドレスを事前に自動入力する機能も備えていた。

• さらに「red-queen」は、奪取したセッションクッキーの有効期限を1年間（31,536,000秒）に設定していた。これにより、継続的アクセス評価（CAE）などの高度なセキュリティポリシーが適用されていない環境では、被害者がパスワードを変更した後であっても、攻撃者は数ヶ月間にわたってアカウントへのアクセスを維持できる状態になっていた。リポジトリにはあらかじめビルドされた実行ファイルが同梱されており、購入者が複雑な設定なしですぐに使えるようになっていた。なお、この開発者自身も、別のフィッシング攻撃から漏洩したとみられる自身のメールアドレスとパスワードの使い回しが原因で、Lexfoによって身元や他のアカウント情報が特定されている。

• もう一人の開発者「saroula01」が作成したカスタムフォーク「black-queen」は、他の2つよりも多くの認証情報奪取を記録していたが、被害者のパスワードを一切窃取しないという特徴を持っていた。このツールは、スマートTVなど文字入力が制限されたデバイス向けに提供されている正規の機能「OAuthデバイスコードフロー」を悪用していた。

• この攻撃では、攻撃者のサーバーがMicrosoftの正規システムから本物のデバイスコードを発行させ、それを認証アプリを模した偽の誘導ページに表示する。被害者に対して、そのコードを本物のMicrosoftのログインページ（ microsoft.com/devicelogin ）に入力するよう促す。被害者が本物のページでサインインし、自身で多要素認証をクリアすると、裏で待機していた攻撃者のシステムがアクセストークンを自動的に取得する仕組みである。

• この手法は、厳密にはMFAの仕組みそのものを「バイパス（回避）」しているわけではない。被害者は本物のMicrosoftのインフラ上で認証を行っているため、MFAのプロセス自体は正常に完了している。そのため、偽サイトへの接続を遮断する「オリジンバインディング（接続元のドメインを検証し、異なるドメインへの情報送信を防ぐ仕組み）」を備えたパスキーやFIDO2（安全なログインのための国際規格）などの高度な物理セキュリティキーを使用していたとしても、接続先が本物のMicrosoftのドメインであるため、攻撃を防ぐことができないという特徴がある。

• このデバイスコードフローを悪用したフィッシング手法については、Microsoftも公式に注意喚起のドキュメントを公開している。