Microsoft 365の盗難トークンで79組織に侵入―MFAの登録変更でアクセスを維持

Huntressは2026年10月22日、盗んだ認証済みセッションを再利用し、Microsoft 365へ侵入する攻撃を報告しました。7月14日〜9月22日に同社が対応した79組織で、497件の認証成功を観測しています。10月に新たに497組織が侵害されたという発表ではありません。

攻撃者は偽のログイン画面で正規の認証を中継する手法などにより、多要素認証（MFA）後のトークンを取得していました。本人がMFAを済ませた証明を使うため、盗んだトークンでの接続時に、攻撃者がもう一度MFAを通る必要はありません。

侵入後には少なくとも48台の不正な端末をEntraへ登録。19組織では、最初の不審な接続から3時間以内に既存のMFA方法を消して別の方法を登録していました。メールを見えにくくする受信ルールや、給与に関するメール送信も確認されました。

同社は、侵害時にはセッションの失効とパスワード変更に加え、不正な端末・MFA方法・受信ルールを除去するよう案内しています。パスワードだけを変えても、追加済みの認証方法は残ります。今回の調査は同社の顧客環境での観測で、Microsoft 365全体の被害件数ではありません。