ISSコラム

Microsoft 365 “Code of Conduct” phishingとAiTMトークン窃取

Microsoftは5月4日、4月14日から16日にかけて観測した大規模な多段階フィッシングキャンペーンを公表しました。この攻撃は「Code of Conduct review」を装うメールを使い、35,000人以上、13,000以上の組織、26か国を対象にしました。対象の92%は米国で、業種としてはHealthcare & life sciences、Financial services、Professional services、Technology & softwareが目立ちました。攻撃者は正規メールサービスや複数段階のリダイレクトを組み合わせ、最終的にMicrosoft認証情報および認証トークンを窃取するAiTM型の流れを構成していました。 

このキャンペーンの要点は、MFAだけでは防げない点にあります。AiTMでは、利用者が正規のログインを行う間に、攻撃者が認証セッションやトークンを中継・窃取します。侵害後は、Exchange Onlineメールの検索、転送ルール追加、OneDrive/SharePoint上の文書取得、Teamsでのなりすまし、OAuthアプリ同意、内部フィッシングへの展開が可能になります。検知方法としては、UserLoggedInだけでなく、異常なSessionId、MFA成功後の不自然なIP遷移、Impossible travel、OAuth consent、メール転送ルール、短時間大量メール閲覧、Graph APIアクセス、普段使わないUser-Agentを相関する必要があります。パスワードリセットだけでは不十分で、セッション取り消し、refresh token無効化、MFA再登録確認、条件付きアクセスの強化が必要です。 

Kali365：OAuth device code flowを悪用するPhishing-as-a-Service

FBIは5月21日、Microsoft 365のアクセストークンを取得してMFAを迂回するPhishing-as-a-Service基盤 Kali365 について警告しました。FBIによれば、Kali365は2026年4月に初めて確認され、主にTelegramで配布されており、OAuth 2.0 device code flowを悪用して、攻撃者がユーザーのパスワードを直接盗まなくてもMicrosoft 365へのアクセスを取得できます。攻撃の流れは、被害者に正規のMicrosoft device loginページへアクセスさせ、攻撃者が指定したdevice codeを入力させるというものです。ユーザーが正規ページ上で承認すると、攻撃者側のデバイスまたはセッションにOAuth tokenが発行され、Outlook、Teams、OneDrive等へアクセスできるようになります。 

Kali365が実務上厄介なのは、ログイン画面そのものはMicrosoftの正規ドメインであり、利用者への教育で「URLを確認せよ」と言うだけでは防ぎにくい点にあります。さらにFBIは、Kali365がAI生成フィッシング文面やブランド偽装ランディングページを備え、技術力が低い攻撃者にも提供されていると説明しています。防御では、device code flowの制限、条件付きアクセスによるデバイス準拠・場所・リスクベース制御、OAuth tokenの異常利用監視、DeviceCode系イベントの検知、緊急管理者アカウントの例外設計、疑わしいサインイン後のtoken revocationが重要になります。特にM365監査ログを扱うCSIRTは、「パスワード侵害なし」「MFA成功済み」「正規Microsoft URL利用」という条件でも侵害が成立する前提で、サインインログ、Entra ID監査ログ、Unified Audit Log、Defender for Cloud Appsを横断して調査すべきです。 

SEO poisoning、AIチャットボット、ScreenConnectを組み合わせたGPU cryptojacking

Microsoftは5月26日、SEO poisoningとAIチャットボット経由の悪性リンク露出を組み合わせたGPU cryptojackingキャンペーンを公表しました。攻撃者はCrystalDiskInfo、HWMonitor、Display Driver Uninstaller、FurMark、K-Lite Codec Pack、PDFgearなどの正規ユーティリティを装い、高性能GPUを持つゲーマー、ハードウェア愛好家、AI開発者を狙いました。Microsoftによれば、このキャンペーンは感染数の最大化よりも、GPUマイニング価値の高い端末を選別する方向に設計されていました。攻撃者はDLL sideloading、process hollowing、永続化、ScreenConnectの悪用、lolMiner・gminer・SRBMiner-MULTIなどのGPUマイナーの動的展開、ゲームやストリーミング中に活動を抑制する回避機能を用いていました。これは、クリプトジャッキングがもはや「CPU使用率が高いだけのノイズ」ではなく、リモート管理ソフトを用いた持続的制御や追加ペイロード展開の足場になり得ることを示しています。検知するには、偽ユーティリティのダウンロード元、gleeze.comやDynu DNS関連サブドメイン、ScreenConnectの不審インストール、GPU使用率の周期的上昇、マイニングプール接続、.NETユーティリティの不自然な実行、プロセスインジェクションを確認する必要があります。AIチャットボットに悪性SEO結果が混入する点は、利用者が「検索結果」ではなく「AIの推薦」を信頼する行動変化を攻撃者が利用し始めたことを意味しています。 

TanStack / Nx Console / Laravel系に見る開発サプライチェーン攻撃の連鎖

5月は、開発者向けサプライチェーン攻撃が連鎖的に発生しました。TanStack事案では、GitHub Actionsのtrusted publisher連携が悪用され、42個の@tanstack/* npmパッケージに84の悪性バージョンが公開されました。Nx Consoleでは、Visual Studio MarketplaceとOpenVSXで短時間ながら悪性バージョンが配布され、開発者端末上のクラウド資格情報や秘密鍵の収集を試みました。さらに、Laravel-Lang関連パッケージを狙うcredential stealer攻撃も報じられており、開発者エコシステム全体が攻撃対象として扱われています。 

この種の攻撃では、侵害の第一被害者はOSSメンテナや開発者だが、最終的な被害者は下流の企業環境です。CI/CDが悪性パッケージを取得すれば、build secret、GitHub token、npm token、クラウドキー、コンテナレジストリ認証情報、SaaS APIキーが漏えいします。攻撃者はその後、ソースコード改ざん、クラウド侵害、CI runnerの永続化、社内パッケージレジストリへの横展開、リリース物への混入へ進みます。実務上の防御は、依存関係固定、lockfile監査、npm provenance確認、GitHub Actionsのpull_request_target利用制限、OIDC token権限最小化、self-hosted runner隔離、シークレットの短命化、Marketplace拡張の許可制まで含める必要があり、単なるSBOM生成だけでは、正規パッケージの正規バージョン番号に悪性コードの混入を防げません。 

本コラムについて

インターネットセキュアサービス㈱（以下、ISS）が提供する攻撃キャンペーン情報は、全ての攻撃キャンペーンを対象にせず、ISSが対応したインシデントの経験等から危険性が高いと判断した情報を掲載しております。

なお、記載内容は全てを保証するものではありません。

ISSは、皆様のセキュリティ対策のお役に立つ情報を積極的に発信してまいります。