パスワードは盗まれていないのにアカウントが乗っ取られる?新種のMicrosoft詐欺「デバイスコードフィッシング」の脅威と対策

オンライン詐欺の多くは、依然として一つの目的――パスワードの窃取を狙っています。偽のログインページ、不審なリンク、「アカウント認証」を求める緊急性の高いメールなどに注意するよう、私たちは日頃から訓練されてきました。

しかし、Microsoftアカウントを標的とする新たな攻撃の手口は、これまでとは大きく異なります。被害者は本物のMicrosoftサイトでログインし、正規のセキュリティチェックを通過し、多要素認証(MFA)さえ問題なく完了します。それでも、攻撃者はアカウントへのアクセスを手にしてしまうのです。

この手法はデバイスコードフィッシング(device code phishing)と呼ばれ、パスワードそのものは一切盗みません。代わりに、ユーザー自身にアクセス権を「自ら許可」させるよう仕向けることで、Microsoftの認証システムを設計どおりに利用してアカウントを奪います。

デバイスコードログインは本来とても便利な機能

あなたも何度も使ったことがあるはず

Microsoftをはじめとする大手テック企業は、デバイス承認フロー(device authorization flow)、いわゆる「デバイスコードログイン」をサポートしています。スマートTVやホテルの部屋のテレビなど、完全なログインページを表示しにくい機器でサインインする際に、別のデバイスでコードを入力して認証を完了する、あの流れのことです。

このプロセス自体は通常まったく安全で、危険な要素はありません。しかし、特定の悪用手法によって状況は一変します。

正規の機能があなたを陥れるために使われる

「コードを入力した本人がリクエスト元」という前提を突く

デバイスコードログインが悪用される理由は、このプロセスが「コードを入力している人物が、ログイン要求を開始した本人である」と暗黙に想定している点にあります。こここそが、仕組み上の弱点です。

攻撃者は、メールアドレスなどの連絡先情報さえ分かれば、自分のデバイスからデバイスログイン要求を開始できます。するとMicrosoft(および他社)は、そのセッションに紐づいた正規のデバイスコードを生成します。

そして攻撃者は、そのコードを自分で使う代わりに、あなたへ直接送りつけます。よくあるフィッシングの手口を装ったメッセージとして、次のようなものが使われます。

• 不審なアクティビティを検知したというセキュリティ警告
• 緊急性を装ったMicrosoft 365の通知
• TeamsやITサポートからのメッセージ
• ビジネス関連のメールによる依頼

メッセージは「公式のMicrosoftログインページにアクセスし、提供されたコードを入力してアカウントを保護・確認してください」と指示します。ここからが巧妙なところです。あなたが訪れるのは偽物のログインページではなく、本物のMicrosoftページであり、認証チェックも本物です。

あなたは普段どおりコードを入力してリクエストを承認し、「アカウントを守れた」と安心します。しかし実際には、攻撃者を認証していたのです。アカウントの鍵を自ら手渡してしまったことになります。

この一連の流れで、パスワードは一度も漏洩していません。それでも、あなたは直接アカウントを明け渡してしまったのです。

なぜデバイスコードログイン詐欺はこれほど効果的なのか

カギは「完璧な模倣」

デバイスコードログイン詐欺最大の問題は、従来型のフィッシング対策のほとんどをすり抜けてしまう点です。通常のフィッシングは、クローンされたログインページや類似サイト、認証情報を横取りする仕組みなどを使います。

一方、この詐欺はそうした要素をすべて省略しています。すべてが表向き正当に見えるだけでなく、実際に正当なのです。あなたは本物のMicrosoft認証プロセスとやり取りしており、すべての工程が本来あるべき動作をしています。ただ、その向きがあなたに対して逆転させられているだけです。

攻撃者はアクセストークンで何を手にできるのか?

攻撃者を認証してしまうのは明らかに危険な状態

認証が完了すると、Microsoftは「アクセストークン」と呼ばれるものを発行します。これは「ログインがすでに検証済みである」ことを示す一時的な証明のようなもので、システムはトークンの保持者が本人確認済みだと判断し、資格情報を再要求することなくアクセスを許可します。

攻撃者が何を手にできるかは、標的となったアカウント次第です。例えばOutlookアカウントが狙われた場合、攻撃者はメールへのアクセスを得て、さらにそこからパスワードリセットや2FAコードの入手などを通じて、関連する他のサービスへも波及的に侵入できます。

Teamsのログインが標的なら、攻撃者は企業のTeamsアカウント内部に入り込み、そこに保存されたデータへアクセスできてしまいます。

デバイスコードフィッシングから身を守るには?

絶え間ない警戒心が最大の防御策

結局のところ、最良の防御策は、デバイスログインの仕組みを正しく理解することです。基本的なレベルの理解だけでも、この種のフィッシング攻撃から身を守ることができます。

要するに、デバイスログインコードが表示されるのは、あなた自身が別のデバイスでログイン操作を開始したときだけであるべきです。Microsoftが突然「アカウントを保護するためのコード」を送ってくることはありません。パスワードを聞いてきたり、2FAコードの確認を求めてきたりしないのと同じです。

これはMicrosoftに限った話ではありません。テック企業であろうとなかろうと、どんな会社もこのような情報を求めてくるべきではありません。それはあなた専用の非公開情報だからです。

多くの場合、一般的なフィッシング詐欺を見分けるためのルールがそのまま役立ちます。

• メール、チャット、SMSで送られてきたログインコードは絶対に入力しない。
• 予期しない認証リクエストは、パスワードの要求と同じ扱いで警戒する。
• 自分がトリガーしていないMFA通知が届いたら、即座に拒否する。
• Microsoftのサインイン履歴を定期的に確認し、見覚えのないアプリやセッションがないかチェックする。

忘れないでください。認証コードは「確認のためのステップ」ではなく「許可(権限)」そのものです。あなたがプロセスを開始していないのであれば、開始したのは誰か別の人物――つまり攻撃者だということです。