Sophosは2026年10月19日、単一アカウントの侵害から複数のSaaSへ被害が広がった調査結果を公開しました。攻撃者は電話でヘルプデスク担当者を装い、利用者からSMSの確認コードを聞き出しました。サインインの監視に加え、パスワードを復旧する手順や、その後の端末登録まで点検すべき事例です。
入口は偽サイトではなく、電話とパスワード復旧
Sophosによると、攻撃者は多要素認証(MFA)用のSMS確認コードを聞き出し、利用者自身がパスワードを再設定する仕組み「SSPR」を悪用しました。Microsoft 365のパスワードを変更し、数分後にはEntra IDに新しいWindows端末を登録しています。
侵入には偽サイトもマルウェアも使われず、アプリへのアクセス許可を求めるOAuth同意要求もありませんでした。メールの不審なリンクや新しいアプリへの同意だけを調べても、今回の入口は捉えられません。
攻撃者は、認証に使うトークン「PRT」を利用し、端末と連携した認証済みセッションを確立しました。ServiceNowへの認証記録では、MFAは実施済みと扱われていました。「MFAを通過している」という記録だけで、正当な利用者の操作と判断しないことが重要です。
Sophosは、サインインだけでなく、アカウント復旧手順の保護を強めるよう推奨しています。
Graphで組織を調べ、複数サービスの情報へアクセス
攻撃者はMicrosoft Graphを使って組織情報やテナント間の関係を調査しました。プログラムから情報を取得・操作する窓口であるGraph APIでは、権限、企業アプリ、ユーザーなどを列挙しています。
本人と複数の共有メールボックスでは100件超のメールが閲覧されました。SharePointでは認証情報や個人情報などを探す検索があり、約10万件のファイルがダウンロードされています。電話詐欺への社内注意喚起メールも、閲覧後に削除されました。
ServiceNowでは、ユーザー情報を扱うsys_userから約2,500件がCSV形式で出力され、攻撃者がsys_user.csvを読み取ったことも確認されました。sys_userには、設定次第で氏名、連絡先、役割、部署、上司などが含まれます。ただし、この事例でそれらの項目すべてが出力されたとまでは示されていません。
一方、Salesforceでは連携認証によるアクセスが確認されたものの、CRMデータが大量に抽出された証拠はありませんでした。異常検知によってアカウントが凍結され、管理者へ通知されています。ServiceNowの端末一覧も閲覧されましたが、出力の証拠はありませんでした。
Microsoft Teamsの起動も記録されています。ただし、既存メッセージの閲覧だけでは監査記録が残らないため、起動記録と閲覧内容は分けて判断する必要があります。対象サービスの日本での提供状況は、この発表には書かれていません。
影響する会社・しない会社
- 影響する: Microsoft 365でSSPRを使う会社です。復旧時の本人確認と、復旧直後の端末登録を一続きで確認する対象になります。
- 影響する: Entra IDと連携してServiceNowやSalesforceなどを使う会社です。調査をメールだけで終えず、連携先のアクセスやデータ出力まで広げる必要があります。
- 影響しない: 今回登場したサービスや認証連携を使っていない会社は、それらのログを確認する対象にはなりません。ただし、電話による本人確認の悪用まで無関係とは判断できません。
情シスが今日やること
以下は今回の事例を踏まえた点検案です。Sophosが対応期限を指定したものではありません。
- 今日、復旧手順の担当者を確認する。 Microsoft 365の管理担当とヘルプデスクで、SSPRの利用状況と本人確認手順を照合してください。電話でSMS確認コードを聞き出す手口を共有し、コードを伝えるよう求められた場合の連絡先を利用者へ案内します。
- Entra IDで端末登録とサインインを突き合わせる。 管理画面で登録端末とサインイン記録を確認し、不審なパスワード変更の直後に新しいWindows端末が登録されていないかを調べます。MFA実施済みの表示だけで確認を終えないようにします。
- 不審なアカウントがあれば、調査先を広げる。 Microsoft 365側のメール閲覧、SharePointの検索・ダウンロードに加え、ServiceNowのsys_user出力やSalesforceへのアクセスを各サービスの管理担当へ確認依頼します。ServiceNowでは、出力内容とsys_user.csvの読み取りを確認対象にします。
- 今日中に、確認済みと未確認を分けて共有する。 セキュリティ担当や委託先へ、確認できた操作、証拠がない操作、ログだけでは判断できない操作を分けて伝えてください。今回、新しい受信トレイルールや転送ルール、新規アプリの作成は確認されておらず、それらがないことだけで侵害を否定しないようにします。
