Microsoft 365のセキュリティ · 主な脅威と防御策
Microsoft 365のセキュリティとは、Microsoftのクラウド環境にあるアイデンティティ、メール、データを守ることです。現在の主な脅威はパスワードではなくセッションです。AiTM攻撃やOAuthトークンの窃取は従来の多要素認証（MFA）を回避し、その後にビジネスメール詐欺（BEC）や不正送金が続きます。防御には、認証後のアイデンティティ保護（ITDR）、AiTMフィッシング対策、そしてDefenderプラットフォーム上での継続的な検知と対応が必要です。
境界はアイデンティティにある
Microsoft 365では、データもアイデンティティもクラウドにあります。境界はもはやネットワークではなく、アイデンティティです。攻撃者はそれを理解しており、パスワードを盗むことをやめ、セッションを盗むようになりました。この転換によって、従来の多要素認証は今も必要ですが、それだけでは十分ではなくなりました。
セッションが新しい認証情報になった
AiTMフィッシング（中間者型フィッシング）やデバイスコードを悪用する攻撃では、攻撃者は正規の認証の後にセッショントークンを取得します。アラートを発生させずにM365に入り込み、数週間にわたって気づかれないこともあります。そこからビジネスメール詐欺（BEC）が始まります。アラートを隠すための受信トレイルール、支払先の変更、データの持ち出しが、すべて正規のAPIで行われます。IPAの「情報セキュリティ10大脅威 2026」（組織編）でも、「ビジネスメール詐欺」は10位に挙げられています。
M365を実際に守るには
手段は3つです。アイデンティティ（ITDR、高度な条件付きアクセス、FIDO2・パスキー）、認証情報が入力される前に遮断するAiTMフィッシング対策、そして24時間365日体制のSOCが運用するDefenderとSentinelのプラットフォーム上での継続的な検知と対応です。サービスの詳細はMicrosoft Defender上のMDRをご覧ください。
M365の脅威と防御策
| 脅威 | 攻撃の内容 | 防御策 |
|---|---|---|
| AiTMフィッシング | リバースプロキシで認証情報とトークンを傍受 | AiTMフィッシング対策、FIDO2・パスキー |
| OAuthトークンの窃取 | セッションを悪用し、MFAを回避 | ITDR、認証後の異常検知 |
| ビジネスメール詐欺（BEC） | 侵害されたメールボックスを使った詐欺 | 振る舞い検知、MDR |
PhaaSプラットフォームKali365の分析（800ドメインを特定）は、正規の認証の後にOAuthトークンを窃取することで、Microsoft 365の従来の多要素認証が回避される仕組みを示しています。認証後のアイデンティティ保護が必要であることの裏付けです。
分析を読む（英語） →よくある質問
Microsoft 365を守るには、多要素認証だけで十分ですか？
いいえ、それだけでは十分ではありません。AiTM攻撃やセッショントークンの窃取は、認証後のセッションを盗むことで従来の多要素認証を回避します。FIDO2・パスキー、AiTMフィッシング対策、そして認証後のアイデンティティ保護（ITDR）が必要です。
M365に対するAiTM攻撃とは何ですか？
AiTM（Adversary-in-the-Middle）は、リバースプロキシを使って認証情報とセッショントークンをリアルタイムに傍受するフィッシングで、多要素認証を有効にしていてもアクセスを許してしまいます。詳しくはAiTMフィッシング対策をご覧ください。
ビジネスメール詐欺（BEC）とは何ですか？
侵害されたメールボックスから始まる詐欺です。攻撃者はメールのやり取りを読み、そこに入り込んで、支払先を不正な口座に変更させたり、データを持ち出したりします。マルウェアは使わず、正規のトークンとAPIを利用するため、エンドポイントでは何も検知されません。
Microsoft 365はどのように守ればよいですか？
アイデンティティ（ITDR、条件付きアクセス、FIDO2）、AiTMフィッシング対策、そして24時間365日体制のSOCが運用するDefenderとSentinelのプラットフォーム上での継続的な検知と対応です。詳しくはMicrosoft Defender上のMDRをご覧ください。
理論から実際の運用へ
ここで解説した内容を、Fortgaleは2017年からミラノで運用する24時間365日体制のSOCで毎日実践しています。287の脅威アクターを継続的に追跡し、封じ込めまで30分未満で対応します。サービスの詳細：Microsoft Defender上のMDR
関連リソース： AiTMフィッシング対策 · アイデンティティ保護（ITDR） · MDRとは
売り込みではなく、技術的な対話を
ご連絡先をお送りください。欧州のアナリストが1営業日以内にご連絡します。24時間365日体制のSOCと、独自の脅威インテリジェンスに基づいてお答えします。