パスキーの話題用いるフィッシング攻撃、Microsoft 365のデータ窃取につながる

パスキーの話題用いるフィッシング攻撃、Microsoft 365のデータ窃取につながる

BleepingComputer – September 11, 2026

2026年5月以降、ShinyHunters、Helixその他の恐喝グループに関連する脅威アクターらが、パスキーやシングルサインオン（SSO）の話題を使ったソーシャルエンジニアリング攻撃を行って企業のマイクロソフトアカウントを侵害し、Microsoft 365サービスからデータを盗み出そうとしているという。マイクロソフトが注意喚起した。

マイクロソフトによれば、アクターらは標的となる組織や従業員についての広範な調査を実施したのち、ITヘルプデスクになりすまして電話またはメッセージを通じて従業員に接触。企業システムへのアクセスが失われないようにするためには、緊急でパスキー、多要素認証（MFA）、またはSSOの設定を変更する必要があると従業員に伝えるという。

その後従業員は、正規のMicrosoftログインページに似せたフィッシングサイトへ誘導される。このサイトへのリンクは、従業員の私用端末宛のSMSメッセージを通じて送られる場合もあるとされる。

このフィッシングキャンペーンではパスキーの話題がルアーとして使われることが多いものの、攻撃者は実際にパスキーの登録を試みるわけではなく、攻撃者の目的はあくまで中間者攻撃（AiTM）用フィッシングサイトへの誘導や、デバイスコードフィッシングの実行。フィッシングドメインには、「passkeyhelpdesk[.]com」や「secure-passkey[.]com」、「oktasession[.]com」、「keysyncos[.]com」など、パスキーやSSO、キーの同期などに関連したワードとターゲット企業名を組み合わせたものが使われるという。

マイクロソフトはこれらのフィッシング活動を、同一の恐喝エコシステムで活動するグループStorm-3121やStorm-3032などの脅威アクターに関連づけている。

• Storm-3121：ShinyHuntersおよびFalconに関連する恐喝グループ。
• Storm-3032：BlackFileとの繋がりを持つと考えられるグループ。BlackFileは現在、「Helix」の名で活動している。

またBleepingComputerによれば、これらの活動は過去にGoogleが「UNC6671」として報告した脅威クラスターとも重複しているとされる。Googleは当時、UNC6671が電話によるソーシャルエンジニアリングおよびパスキーをテーマとするフィッシングインフラを使ってコーポレートIDを侵害し、企業のクラウド環境へアクセスしようとしている旨を伝えていた。同社は、UNC6671をBlackFile、Helix、Falcon、Pink、Redactとも関連づけている。

関連記事：恐喝グループ「UNC6671」が名称変更後に活動を多角化

Googleの報告書よりも踏み込んだ内容となっているマイクロソフトの新たなブログ記事では、アカウントが侵害された後にマイクロソフトクラウド環境内で何が起きたのかに関する事例が紹介されている。

1つ目の攻撃事例では、MFAが完了されたのち、攻撃者は有効なセッションを確立して侵害したアカウントからどんなリソースにアクセスできるのかをチェックし始めたとされる。またSharePoint Online、Outlook Web、Microsoft 365のコラボレーションおよび検索サービス、社内業務アプリケーション、および仮想デスクトップに関連する認証フローなどにもアクセス。およそ1時間にわたりセッションを維持し、機微なファイルや社内アプリケーションのリストアップを行ったという。

また別の攻撃では、パスキーをルアーとしたソーシャルエンジニアリングがデバイスコードフィッシングに発展。被害者は正規のマイクロソフト認証ページにコードを入力してしまったとされる。これにより攻撃者の持つOAuthアプリケーションに認証トークンが発行されると、被害者の全リソースや接続されたSSOアプリケーションへのアクセスが可能になる。

さらに、過去に侵害した認証情報が再利用される攻撃パターンも観測されている。このケースでは認証アプリケーションが攻撃の数日前に登録されていたとみられ、攻撃者はほかの攻撃パターンで見られたのと同じ偵察パターンを踏襲したとされる。この偵察活動は、主にNode.jsとMicrosoft Graphを用いて開発された自動化システムを使用して行われていた。

初期アクセスの獲得後、攻撃者らは新しい電話番号や認証アプリ、あるいはソフトウェアベースのワンタイムパスワード（OTP）トークンを登録することで、自身が管理するMFAの手段を追加する。これにより永続性を確保したのち、Graphを使って被害者のクラウド環境の列挙を行うとされる。

マイクロソフトは、以下の項目を列挙する Graphリクエストを確認している。

• 組織、ライセンス、および有効化されたサービス
• ユーザー、グループ、およびグループのメンバーシップ
• ディレクトリロールおよび特権アカウント
• 登録済みの認証方法
• アプリケーションおよびサービスプリンシパル
• OAuth権限およびアプリケーションロールの割り当て
• SharePointサイト、ドキュメント ライブラリ、フォルダー、およびファイル
• OneDriveリソース
• メール フォルダー、メッセージ、および添付ファイル

マイクロソフトによると、/users、/groups、/sitesなどのGraphリクエストは企業環境で一般的に使われるものであるため、アラームが発出されない可能性があるとされる。

偵察を終えた後、攻撃者はMicrosoft 365からのクラウドデータ収集へと移行。Microsoft SharePoint OnlineやMicrosoft OneDrive for Business内のデータや一部のEメールコンテンツなどを収集するとされる。マイクロソフトは、この活動は自動で行われているものとみられると指摘している。またデータ窃取は正規のトラフィックに紛れ込ませるため、1時間あたりの抽出可能ファイル／メール件数は1,000件未満に抑えられ、合計で数時間から数日間かけて実施されるという。

マイクロソフトは、不審なサインインに続いて行われる新しいMFA登録、Microsoft Graphの偵察、およびSharePoint、OneDrive、Exchangeへの不審なアクセスを監視することを推奨。加えて、フィッシング攻撃耐性のある多要素認証（MFA）を使用すること、機密性の高いクラウドリソースへのアクセスを管理対象デバイスに限定すること、および不要な場合はデバイスコードによる認証を無効にすることも推奨した。