「行動規範」装う多段階フィッシング攻撃、35,000ユーザー狙撃─MFAも突破するAiTMの脅威

「コンプライアンス通知メールだと思って開いたら、アカウントが乗っ取られていた？」
「多要素認証(MFA)を設定していても突破されるって、本当ですか？」

チップス

ボス！うちの会社にも「行動規範のレビューを開始しました」みたいなメールが来たでしゅ。
添付PDFまで本物っぽくて、思わずクリックしそうになったでしゅ…

ボス

それは危ない、チップス。
Microsoftが2026年5月4日に警告した多段階フィッシングは、コンプライアンス通知を装ってMFAごとMicrosoft 365アカウントを奪う手口だ。
26カ国で35,000ユーザーが標的になった大規模キャンペーンだぞ。

本記事では、Microsoft Threat Intelligenceが詳細を公開したAdversary-in-the-Middle(AiTM)型フィッシングの実態を整理します。
「MFA設定済みだから大丈夫」が通用しない理由を、自社環境の対策へ落とし込める粒度で見ていきましょう。

「うちは関係ない」と思った方ほど、最後まで読んで自社の認証方式を点検してください。

「行動規範レビュー」を装う多段階フィッシング攻撃の全貌

Microsoft Threat Intelligenceが2026年5月4日に公開した報告によれば、4月14〜16日にかけて世界規模のフィッシングキャンペーンが発生しました。
標的の92%は米国ですが、グローバル展開している日本企業もMicrosoft 365を共有テナントで使うケースが多く、無関係とは言えません。

被害の広がりと標的業種

業種別では医療・ライフサイエンスが19%、金融サービス18%、専門サービス11%、IT・ソフトウェア11%。
規制対応の重い業界が狙われており、「行動規範レビュー」というルアー自体がよくできている点が共通しています。
送信者名は「Internal Regulatory COC」「Workforce Communications」など内部通知を装い、添付PDF名も「Awareness Case Log File – Tuesday 14th, April 2026.pdf」と精巧でした。

キャンペーンの主な特徴は以下の通りです。

チップス

業務メールにしか見えないでしゅ…これ、見抜くの厳しいでしゅよ。

ボス

そう、人間の目で見抜く前提では負け戦になる。
だから「クリックしても被害が出ない」設計が必要なんだ。

AiTMでMFAが意味をなさなくなる仕組みと防御策

従来のフィッシングはIDとパスワードを盗む程度でしたが、AiTM(Adversary-in-the-Middle)はリアルタイムでログイン処理に割り込みます。
正規のMicrosoft 365ログイン画面を間に挟み、ユーザーが入力したMFAコードまで含めて中継するため、認証成功直後のセッショントークンが攻撃者の手に渡るのです。

回避された防御ライン

今回の攻撃者は、Cloudflare CAPTCHAを「自動解析の妨害装置」として悪用しました。
サンドボックスや自動クロールでは突破できないため、メールセキュリティ製品の検査をすり抜けます。
配信経路にも正規のクラウドサービスを使い、Microsoft Defenderの評判ベース検知を回避していました。

企業が今すぐ取るべき対策

Microsoftが推奨する第一手は「フィッシング耐性のある認証方式」への切り替えです。
具体的にはWindows Hello、FIDO2セキュリティキー、Microsoft Authenticatorのパスワードレス認証などが該当します。
これらはAiTMで中継しても認証要素自体が漏れない仕組みになっており、現実的な切り札になります。

推奨対策の優先度は以下の通りです。

チップス

FIDO2ってこのキャンペーンには効くんでしゅか？

ボス

効く。AiTMが中継しても秘密鍵がデバイスから出ないからな。
パスワードレスにすればフィッシング自体が刺さらなくなる。

詳細はMicrosoft Security Blogの公式投稿を参照してください。

まとめ：「ユーザーに見抜かせる」から「見抜けなくても被害が出ない」設計へ

フィッシングの精度はもう、人間の注意力で見抜ける段階を超えています。
大事なのは「クリックされても」「ログイン情報を入れられても」セッションを奪わせない仕組みを作ること。
FIDO2・パスキー化と条件付きアクセスの組み合わせが、現時点で最も現実的な答えです。

チップス

うちの教育用ポスター、「URLをよく見ましょう」しか書いてないでしゅ…

ボス

意識啓発も必要だが、それだけでは戦えない。
認証基盤を作り変える方が、人を訓練するより効果が早い。

パスキー移行や条件付きアクセスの設計には、Microsoft 365に詳しいセキュリティ人材が欠かせません。
社内に知見がない場合は、外部のフリーランス活用も視野に入れて動き出しましょう。