侵入の8割が盗まれたIDになった ― 脆弱性を塞いでも入られる時代の防御
パッチを当てても侵入は止まらない。2026年7月時点で確認された964件の被害の約8割は、脆弱性悪用ではなく盗まれた正規IDによるサインインが起点であり、恐喝グループ Helix はビッシング・デバイスコードフィッシング・MFA悪用を組み合わせてSharePoint環境からデータを抜き取っている。
背景
ReliaQuestは2026年7月、恐喝グループHelixによる一連の侵害活動を公表した。被害件数は同月だけで964件にのぼる。Helixの手口は段階的だ。まず音声通話（ビッシング）でターゲットを誘導し、Microsoftのデバイスコード認証フローを悪用したフィッシングページでOAuthトークンを窃取する。取得したトークンはMFAをバイパスする形で正規のサインインとして扱われるため、SIEMや条件付きアクセスの検知をすり抜けやすい。侵入後は SharePoint へ横移動してファイルを一括ダウンロードし、身代金と引き換えにデータ公開を脅迫するモデルを取る。攻撃者が脆弱性ではなくIDを狙うトレンドは2023年ごろから顕著になっており、2026年時点でその比率が全侵入の約8割を占める段階に達した。
リスクの全体像
Helixの脅威モデルは三層で構成される。第一層（誘導）: ビッシングで従業員を心理的に誘導し、「サポートポータル」を装ったURLにアクセスさせる。第二層（認証突破）: デバイスコードフィッシングにより、被害者が入力した認証コードを攻撃者が横取りしてOAuthトークンを取得。このトークンはMFAチェック済みと見なされるため、TOTP型やSMS型のMFAは無力化される。第三層（収奪）: SharePointのAPIを使い短時間で大量ファイルをダウンロード後、組織外へ転送。従来型のウイルス対策やパッチ管理はこのチェーンのいずれの段階にも効かない。攻撃者はあくまで「正規ユーザー」として振る舞うため、ログ上の異常を見つけるには行動分析か厳格なデバイス準拠チェックが必要になる。
チェックリスト
- Microsoft Entra ID（旧Azure AD）の条件付きアクセスポリシーで、デバイスコードフロー（OAuth 2.0 Device Authorization Grant）を明示的にブロックしているか。
- 全管理者アカウントおよびSharePointへのアクセス権を持つユーザーに対し、TOTP・SMS型MFAからFIDO2キーまたはWindows Hello for Businessへの移行が完了しているか。
- SharePointの監査ログで短時間に50ファイル以上のダウンロードを検知するアラートが設定されているか。
- ヘルプデスク・IT部門の電話対応フローに、ビッシング対策スクリプト（折り返し確認・社員番号照合・URLの読み上げ禁止）が組み込まれているか。
- 条件付きアクセスの「デバイス準拠（Compliant device）必須」ポリシーが、SharePointを含む全Microsoft 365アプリに適用されており、例外ユーザーのリストが四半期ごとにレビューされているか。
打ち手
優先度の高い順に三つの施策を実行する。①デバイスコードフローの無効化（条件付きアクセスで即時ブロック。最小工数で最大の抑止効果）。②フィッシング耐性MFAへの切り替え（FIDO2キーまたはCertificate-Based AuthenticationをSharePoint・Exchange・Teamsに先行適用）。③SharePoint異常ダウンロードアラートの設定（Microsoft Purview監査ログまたはDefender for Cloud Appsを使い、閾値を超える一括取得を検知して自動的にセッションを遮断）。これらは順序を入れ替えると効果が半減するため、段階的ではなく並行実施を推奨する。
鍵を替えても、鍵ごと渡せば同じ。
あわせて読みたい
- パスキーとFIDO2 完全ガイド ― パスワードを卒業する認証が、AI時代のフィッシングをどう無力化するか
- フィッシング詐欺とは？ 手口・見分け方・対策・被害時の対応まで完全ガイド
- 【要確認】Citrix Bleed（CVE-2023-4966）― NetScalerのセッション窃取脆弱性、MFAを回避する悪用に注意
- 【はじめてのセキュリティ 第2回】パスワードと認証 ― 一番身近で一番大事な守り
Omamori AI の結論
- 事実: 2026年7月に964件の被害が確認され、Helixはビッシング→デバイスコードフィッシング→MFAバイパス→SharePoint一括窃取という4段階の攻撃チェーンで正規IDを悪用している。脆弱性パッチは同チェーンのいずれの段階にも対処しない。
- 判断軸: 自組織のMFAがTOTP・SMS型であり、かつ条件付きアクセスでデバイスコードフローを制限していない場合、Helixの攻撃チェーンに対して現時点で有効な防御が存在しないと評価すべきである。SharePointに機密データを置いているかどうかがリスクの規模を左右する。
- 打ち手: Entra IDの条件付きアクセスポリシーを確認し、デバイスコードフローのブロックとデバイス準拠必須をSharePointアプリに適用する。並行してFIDO2キーの調達計画を立案し、IT管理者・ヘルプデスク要員向けにビッシング対応訓練を1サイクル実施する。
経営者視点で考えるべきこと
SharePointに蓄積された契約書・顧客情報・財務資料が恐喝グループに窃取された場合、個人情報保護法に基づく報告義務が生じ、対応を怠れば取締役の善管注意義務違反として株主代表訴訟のリスクが発生する。964件という被害件数は「自社だけが標的になる確率」を議論できる水準を超えており、業種を問わず再現性のある攻撃として捉えるべきだ。FIDO2キーへの切り替えコストはエンドポイント1台あたり数千円規模であり、情報漏えい1件あたりの平均損害額（調査・通知・風評対応を含む）と比較すれば投資対効果は明確である。取締役会では「MFAは導入済みか」ではなく「フィッシング耐性MFAへ移行済みか」「デバイスコードフローはブロックされているか」を確認事項として議題に載せることが、現在の脅威環境に即した意思決定姿勢といえる。
