2026/11/04 gbhackers — Microsoft Entra ID のアプリケーション認証情報を悪用する攻撃者が、Microsoft 365 および Azure 環境に侵入している。この攻撃は、マネージド・サービス・プロバイダー (MSP) と顧客を経由して、27の組織に影響を及ぼしている。この Key Eater と呼ばれる現在進行中の攻撃キャンペーンは、Todyl の MXDR チームにより監視されている。2026年11月1日以降、攻撃者は約 18組織における約 45件のアプリケーション登録を標的とし、そのうち 33件以上で不正認証に成功している。調査担当者によると、攻撃者は 81個のファイルをダウンロードし、約 2,279件のメールボックス・アイテムにアクセスした。これらの侵害では、Microsoft のシステムに存在する脆弱性は悪用されていない。
窃取した Microsoft Entra ID を悪用する攻撃者
被害を受けたのは、政府機関／エネルギー／農業／運輸／エンジニアリング／法律／教育／非営利団体などの広範な分野の組織であると、Todyl の調査結果は示している。ただし、これらの数値は、同社のテレメトリで確認できた環境のみを対象としている。
攻撃者は、最初に個々のユーザーアカウントを侵害するのではなく、有効なシークレットを悪用して正規のアプリケーションになりすまし、認証を行っている。調査担当者が確認したものには、Azure DevOps のフェデレーション・ワークロード ID の悪用や、ユーザーの Azure DevOps セッショントークンを再利用するリプレイ攻撃もある。
ほぼすべての認証情報の悪用において、攻撃者は最初に Azure Resource Manager のトークンを要求し、続いて Key Vault のトークンを要求している。その後の数秒以内に、Microsoft Graph／Storage／Cognitive Services のトークン要求が行われるケースも多い。
それまで使用されていなかったアプリケーションが、その後の数分以内に認証を開始している。この動きが示唆するのは、収集されたシークレットが追加のアクセスに利用されていることであるが、シークレットの取得元を確認するには Key Vault の監査ログが必要となる。関連する Entra ID に対する攻撃が示すのは、クラウド ID とアクセス可能なシークレット・ストアを詳しく調査する必要性である。
攻撃者は約 25のテナントに対して、単一のワイルドカードを用いる Microsoft Graph 検索を 29回実行した後に、SharePoint のファイルを約 1秒に 1個のペースでダウンロードした。
収集された情報には、パスワード一覧／秘密鍵／VPN プロファイル／MFA とリモート監視用の API キー／バックアップ用の認証情報／ファイアウォールの設定／サービスアカウントの対応関係などが含まれていた。これらの情報は、Microsoft 365 の範囲を超えて、新たな侵入に悪用される可能性がある。
MSP との連携を介して、さらに被害の範囲が拡大した。あるマルチテナント・アプリケーションは、約 10秒間隔のループ処理で、15の顧客テナントを次々に調査していった。
この活動は高速であるが、ワームによるものではないと、Todyl は説明している。確認された証拠が示すのは、単一の攻撃者が VPS 上からスクリプト化されたツールを操作し、以前に窃取した認証情報を悪用して、MSP の顧客環境内でアクセス範囲を拡大していたことだ。サインインの 95% は、スクリプト化されたクライアントによるものだった。AI による支援が悪用された可能性もあるが、その確度は低く、確認された事実ではない。
11月3日に検知された後に、この攻撃者は curl や Python を示す識別情報を、ブラウザを偽装した User-Agent に変更した。続いて、複数のユーザーのリフレッシュ・トークンを再利用する試みが確認されたが、同日に観測されたすべてのリプレイ攻撃は Conditional Access によりブロックされた。同様の Microsoft 365 に対するトークンリプレイ攻撃が示すのは、アプリケーション認証情報だけでなく、窃取されたセッションについても調査することの重要性である。
2つの MSP にまたがって、AI サービス向けのトークンが 4件発行されていた。この証拠は、LLMjacking が行われた可能性と整合するが、トークンの発行だけでは、実際に AI リソースが消費されたことを証明できない。
攻撃者が悪用したことが確認されている IP アドレスは 199.19.77.84 である。特徴的な User-Agent には、task177-f2267/1.0 および sait-tenant-deep/37346 が含まれる。
管理者にとって必要なことは、サービス・プリンシパルによるサインインについて、成功と失敗の両方を調査し、監査ログを保全することである。また、侵害されたアプリケーションを無効化した上で、漏洩したアプリケーション認証情報と、それに関連する下流システムの認証情報を、すべてローテーションすることが推奨される。ユーザー認証を中心とした Conditional Access だけでは、アプリケーション単独の認証に対するセキュリティ制御を代替できない。
永続化の痕跡や、ベンダーのプラットフォーム自体が侵害された兆候は確認されていない。攻撃者の特定と、認証情報が窃取された手法については、依然として明らかになっていない。また、監視対象外の環境にも、追加の被害組織が存在する可能性がある。
この記事は、クラウド認証基盤である Microsoft Entra ID に存在するアプリ識別情報の不正使用問題と、その防御措置について解説するものです。保管場所からの鍵情報の漏出や組織間連携機能を介した連鎖的な侵入活動が背景に存在します。影響として、保管されている重要文書の無断取得／他システム用接続情報の露呈／委託先経由での他組織への侵害波及が生じる恐れがあります。対応策として、サインイン状況に関する履歴保持／影響を受けたアプリの即時停止／漏洩した接続用情報の無効化と再発行が求められます。
You must be logged in to post a comment.