正規のMicrosoft認証を悪用するフィッシングツール「Kali365」が台頭、米国の組織を標的にクラウドデータへの永続的アクセスを狙う

要点

• 正規のMicrosoftデバイスログイン機能を悪用し、企業のクラウド環境に侵入するフィッシングキット「Kali365」の活動が確認された。

• 攻撃は「SharePoint」などの信頼されたビジネスサービスを装う偽ページから始まり、正規の認証プロセスを通じて攻撃者がアクセス権を入手する。

• 被害に遭った組織は、金銭的詐欺や機密データの漏洩、業務の停止、対応コストの増加といった深刻なリスクに直面する。

• 攻撃者はドメインやサーバーなどのインフラを頻繁に変更するため、最新の脅威指標をセキュリティシステムに迅速に反映させて防御する必要がある。

• 正規のMicrosoft認証システムを悪用して米国の組織を標的にし、電子メールや機密文書などのクラウドデータへ不正アクセスを行うフィッシングキット「Kali365」の脅威が明らかになった。セキュリティメディア「The Hacker News」が2026年8月5日付で報じたところによると、この脅威はマルウェア分析プラットフォームの調査によって判明し、米国を中心に多数の攻撃セッションが毎週観測されているという。正規のログインページを経由するため検知が難しく、企業にとって新たなセキュリティ上の脅威となっている。

偽サービスから正規ポータルへと誘導する「Kali365」の仕組み

Kali365は、Microsoftの「デバイスコード認証」（スマートテレビなど入力機能が限られた端末向けに、画面に表示されたコードをウェブブラウザから入力してログインする仕組み）の仕様を悪用したフィッシングキットである。インタラクティブなサンドボックス解析（隔離された仮想環境で不審なファイルやURLを安全に動作させて挙動を分析する技術）を提供するサービス「ANY.RUN」のテレメトリ（稼働状況データ）によると、同キャンペーンに関連する公開分析セッションは毎週80回以上記録されており、その主なターゲットは米国となっている。

この攻撃は、被害者を巧妙に騙す3つの主要な段階を経て実行されることが判明している。

最初の段階は「偽装ページによる誘導（Lure）」である。攻撃者は、多くの企業で信頼されているオンライン共有サービス「SharePoint」や「OneDrive」、あるいは電子署名サービス「DocuSign」などの正規ビジネスサービスを模倣した偽のウェブページを作成し、被害者をそのページにアクセスさせる。

第二の段階は「正規のMicrosoft認証の悪用」である。偽のウェブページ上に配置されたリンクなどを通じて、被害者はMicrosoftが公式に提供している正規のデバイスログイン用ポータルサイトへ自動的にリダイレクトされる。この際、偽ページには攻撃者が管理するデバイス用の認証コードがあらかじめ用意されており、被害者は正規のログインページでこのコードを入力するよう求められる。

第三の段階は「OAuthアクセスの確立」である。被害者が正規のログイン画面でコードを入力し、自身のMicrosoft 365アカウントでの認証を完了すると、攻撃者の管理するシステムに対して「OAuthトークン」（パスワードを入力し直すことなく、サービスへのアクセス権限を安全にやり取りするためのデジタルな鍵）が発行される。これにより、攻撃者は認証完了時に生成されるアクセス資格情報（アクセストークンおよびリフレッシュトークン）を手に入れ、被害者のMicrosoft 365アカウントにある電子メール、クラウド上のドキュメント、その他のリソースに対して、継続的にアクセスすることが可能になるという。

企業に及ぼす多様な影響と被害コスト

デバイスコードを用いた認証要求が一度承認されてしまうと、被害は単一のアカウントにとどまらず、組織全体のMicrosoft 365環境に対する広範な侵害へと拡大する恐れがある。元記事では、特に米国の企業や組織が被る可能性のある具体的なリスクとして、以下の5つの要素を挙げている。

• 金銭的詐欺：乗っ取られた電子メールアカウントが悪用されることで、偽の請求書の送付や支払い口座の改ざんが行われ、「ビジネスメール詐欺（BEC）」（取引先などになりすまして偽の電子メールを送り、送金を促す詐欺手法）による直接的な金銭被害が発生する。
• 機密データの漏洩：攻撃者が企業の電子メールや内部ファイル、顧客情報、さらには極秘のプロジェクト文書などにアクセスし、それらを窃取するリスクが高まる。
• 業務の停止および混乱：クラウドサービスへの不正アクセスにより、日々の通信や社内の基本的な業務プロセスが妨害され、通常の操業が困難になる事態が生じる。
• インシデント対応コストの増加：この手法では被害者が正規のMicrosoftのページで認証を行うため、不審な挙動が当初は通常のログイン業務のように見えてしまう。その結果、脅威の検知が遅れ、侵入の特定と封じ込めに要する「インシデント対応」（セキュリティ事故が発生した際に行う一連の調査や復旧作業）が複雑化し、対応費用が跳ね上がる。
• コンプライアンス遵守と評判に関わるリスク：法的規制の対象となる個人情報や顧客データが外部に漏洩した場合、関係機関への報告義務が生じるだけでなく、顧客やパートナー企業からの社会的信用が著しく失墜する結果を招く。

このように、正規のログイン画面を利用した攻撃であるため、最初のうちはセキュリティ管理者にも通常のアクセスとして認識されやすく、攻撃者は発見されるまでの期間を最大限に利用して不正アクセスを悪用し続けることができると説明されている。

リスクを軽減するための最新インテリジェンスの活用

Kali365がもたらす脅威に対しては、一般的な電子メールフィルターによる防御だけでは十分に対応できないとされている。セキュリティのリーダーは、キャンペーンの動向に関する最新の情報を収集し、不審なアクティビティをより迅速に検証し、進化する脅威に対して事前に備える必要がある。

対策の第一歩として、実用的なフィッシングインテリジェンス（攻撃者の手法やインフラに関する脅威情報）を取り入れ、検知体制を強化することが推奨されている。Kali365の実行グループは、攻撃キャンペーンの進行に伴って、使用するドメインやURL、ホスティングサーバーなどのインフラを頻繁に変更（ローテーション）する。そのため、過去に確認された特定の攻撃データだけを頼りにしていると、対策情報がすぐに使い物にならなくなり、セキュリティ対策の隙を突かれることになってしまう。

この問題を解決するためには、新しく発見された「IOC」（侵害指標。攻撃の証拠となるドメインやIPアドレスなどのデータ）を、SIEM（セキュリティ情報イベント管理システム）、SOAR（セキュリティ対応自動化プラットフォーム）、TIP（脅威インテリジェンスプラットフォーム）、さらにはファイアウォールといった組織のセキュリティ制御システムへ速やかに反映させなければならない。これにより、不審なログの強化や過去データの調査、さらには危険な通信の自動遮断が可能となる。

ANY.RUNが提供する「Threat Intelligence Feeds」などのサービスでは、世界中の1万5000以上の組織や60万人を超えるセキュリティ専門家が送信した解析結果をもとに、最新の脅威指標を収集している。こうしたインテリジェンスは、APIやSDK、あるいはセキュリティ情報を記述する標準フォーマット「STIX/TAXII」を通じて配信されており、防御側は侵害が発生したセッション全体の文脈（コンテキスト）を把握した上で、迅速かつ的確な調査と対応を実行できるようになると説明されている。