正規の認証を悪用する「DEBULL」ツール、Microsoft 365を狙うデバイスコード・フィッシングに利用

要点

• Microsoft 365アカウントを狙う新たなデバイスコード・フィッシングが観測された。
• 攻撃ツール「DEBULL」により、被害者を正規のMicrosoftログイン画面へ誘導する。
• 制限された機器向けの「デバイスコード認証」を悪用し、多要素認証（MFA）を回避する。
• 侵害アカウントを踏み台にして攻撃を広げる「ATOジャンピング」も併用されている。

リード文

メールセキュリティ企業のZeroBECは、2026年6月最終週から7月上旬にかけ、Microsoft 365アカウントを標的にしたフィッシングキャンペーンを観測した。調査結果によると、攻撃者は「DEBULL」と呼ばれる再利用可能なツールを用いて正規の認証フローを悪用し、多要素認証（MFA：パスワードに加えてスマートフォン等の追加認証を組み合わせる方式）をバイパスするという。この手口は、Microsoftが過去に文書化したキャンペーンと強い類似性があると指摘されている。

本文

ZeroBECの報告によると、このキャンペーンは共同作業をテーマにした偽メッセージで始まる。従来のフィッシング詐欺のように偽のログインページを用意するのではなく、悪意のあるメッセージでユーザーを正規のMicrosoftデバイスログイン画面へと直接誘導する。裏側では、バックエンドのブローカーがMicrosoft Authentication Brokerのデバイスコードトークンを生成し、ユーザーがコードを入力するのを監視している。

この活動は、Microsoftが2025年2月に「Storm-2372」という呼称で文書化したキャンペーンと強い類似性がある。Storm-2372は、Teamsなどを模したメッセージで被害者にデバイスコードを入力させ、アカウントを乗っ取るものだった。今回のキャンペーンは、同様の手法を「DEBULL」というツールセットを介して再現しているという。

デバイスコード・フィッシング（デバイス認証の仕様を悪用したフィッシング手法）は、OAuth 2.0（異なるサービス間で安全にアクセス権限を受け渡すための標準的な認証プロトコル）の「デバイス認可グラント（Device Authorization Grant）フロー」を悪用したID窃盗技術である。この手法は、MFAを回避し、パスワードを盗むことなくアカウントへのアクセス権を確保できる。攻撃者は偽のページを用意する必要がなく、ユーザー自身に本物のMicrosoft認証プロンプトを完了させるよう仕向ける。

デバイスコード認証は、スマートTVやプリンターなど、ログイン画面を表示できないデバイス向けに設計された正規のフローである。デバイスに短いコードが表示され、ユーザーは別のブラウザからそのコードを入力して認証を完了させる。攻撃者はこの仕様を悪用し、自身の環境で認証フローを開始してコードを取得、それをフィッシングメッセージに埋め込んで標的に送付する。ユーザーがコードを入力すると、本人が気づかないうちに攻撃者のセッションが認可され、トークンが直接攻撃者に渡ってしまう。

攻撃に成功した攻撃者は、アカウントの完全な乗っ取りや情報の窃盗、ビジネスメール妥協（BEC：取引先や経営層になりすまして電子メールを送り、金銭や情報をだまし取る詐欺手法）による詐欺、組織内での横展開、ランサムウェアを用いた破壊的攻撃などを実行できるようになる。

Proofpointが2026年5月に公開した分析によると、近年の攻撃ではユーザーがリンクをクリックした瞬間にコードが動的に生成され、いつでも攻撃を開始できる仕様に進化している。こうした攻撃チェーンは、攻撃者自身が構築するほか、「EvilTokens」や「Tycoon」といったPhishing-as-a-Service（PhaaS：フィッシング詐欺に必要なツールをパッケージ化して提供するサービス）としても販売されている。

さらに、侵害したメールアカウントを踏み台にして連絡先へ攻撃リンクをばらまく「アカウントテイクオーバー（ATO）ジャンピング」（乗っ取ったメールアカウントを踏み台にして、さらに他のユーザーへ攻撃を拡大する手法）も多用される。受信者がメール内のボタンやQRコードからリンクにアクセスすると、再びデバイス認可プロセスを用いた攻撃が実行され、被害が連鎖的に拡大する。

補足

正規の認証プロトコルの利便性を逆手に取った攻撃手法は高度化しており、従来のセキュリティ対策の隙を突く重大な脅威として懸念が強まっている。