デバイスコードフィッシングが15倍に急増——CrowdStrike 2026脅威ハンティングレポート、音声フィッシングも倍増で認証情報窃取が加速

「MFAをかけているから安全でしゅよね？デバイスコードフィッシングってどういう攻撃なんでしゅか？」
「5分以内にデータ窃取って……そんなに速いんでしゅか！？」

チップス

MFAをかけてたらフィッシングにはかかりませんよね……ってパスワードを盗まなくてもOAuthトークンが取れちゃうんでしゅか！

ボス

そこだ。デバイスコードフィッシングはMicrosoftの正規認証フローを使ってトークンを奪う。パスワードもMFAのワンタイムコードも盗む必要がないのが問題の核心だ

CrowdStrikeが2026年8月に公開した「2026年脅威ハンティングレポート」は、攻撃者が多要素認証（MFA）を迂回する手口を急速に洗練させている実態を示した。
過去6か月でデバイスコードフィッシングの試みは月間15倍（1400%増）に急増し、音声フィッシング（vishing）による侵害は2025年下半期と比べて倍増した。
MFAが普及した環境でも通用するこの攻撃手口から、自社のMicrosoft 365環境を守る方法を理解してほしい。

攻撃者の変化に追いつくために、自社の認証設定と監視体制を今すぐ見直してほしい。

CrowdStrike 2026レポートが示す攻撃の加速——デバイスコードフィッシングとvishingの急増

CrowdStrikeは2026年8月、CrowdStrike OverWatchチームの観測データを基に「2026 Threat Hunting Report」を発表した。
2025年下半期〜2026年上半期の攻撃トレンドを分析したもので、MFAを迂回する手口の急拡大が示されている。

デバイスコードフィッシングの仕組み——正規認証フローを悪用

デバイスコードフィッシングは、Microsoft 365などのOAuth認証フローを悪用した攻撃だ。
ブラウザを持たないデバイス向けの正規機能を使い、以下の手順でOAuthトークンを入手する。

攻撃者はパスワードを盗む必要がなく、被害者の正規の認証フローを通じて権限を取得するため、多くのMFA設定では防げない構造的な問題がある。

攻撃者の手口——AI支援型自動化と5分以内の侵害完了

CrowdStrikeが確認したeCrime攻撃者の行動速度は著しく上昇している。
音声フィッシング（vishing）による侵害は2025年下半期と比べて倍増しており、攻撃速度も加速している。

CrowdStrike 2026レポートの主要指標

今回のレポートで確認された主要な攻撃指標は以下のとおりだ。

国家支援グループもOAuth攻撃を積極活用しており、VAULT PANDAやGENESIS PANDA（中国系）は脆弱性開示後24時間以内に攻撃を実行するスピードを維持している。

チップス

MFAをかけてても5分でやられちゃうでしゅか……パスワード変えても意味ないでしゅね

ボス

デバイスコードフィッシングはパスワードを盗まないからだ。発行されたトークンを無効化するには、Entraの条件付きアクセスでデバイスコードフローそのものを制限するしかない

まとめ——認証情報の「所持」だけに頼らない防御が必要

MFAの普及に対し、攻撃者はOAuthトークン窃取・音声誘導・AI自動化でその壁を越えようとしている。
デバイスコードフィッシングは「認証が通った後」のトークンを奪うため、認証後の挙動監視が不可欠だ。

今すぐ確認すべき対応は以下のとおりだ。

チップス

条件付きアクセスのポリシーを見直しに行くでしゅ！デバイスコードフローを許可してたら今すぐ制限しないといけないでしゅ！

ボス

ふふふ、正しい判断だ。攻撃者の速度が上がっている以上、パッチより速く設定変更できる組織が勝つ