チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「パスキーに移行したのに、それを使った攻撃があるって本当でしゅか？」
「電話で『パスキーを登録してください』と言われたらどうすればいいんでしゅか？」
チップスボス！パスキー認証への移行を進めているんでしゅけど、そのパスキー登録自体を騙す攻撃があるって聞いてびっくりしたんでしゅ。セキュリティを上げようとしたら逆に狙われるんでしゅか？
ボス攻撃者は常に「ユーザーが慣れていない瞬間」を狙う。パスキーへの移行期は絶好の標的だ。O-UNC-066と呼ばれる攻撃グループが電話とフィッシングサイトを組み合わせた巧妙な手口でMicrosoft 365ユーザーを狙っている。
「セキュリティ強化のためにパスキーを登録してください」という電話が本物かどうか、受信した瞬間に判断するのは難しい。
攻撃の手口を知ることが、唯一の防衛策だ。
食品・飲料、技術、医療、自動車、建設、航空など幅広い業種が標的になっており、「うちには関係ない」とは言えない状況だ。
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
この攻撃の巧妙な点は「電話による信頼の確立」と「高度に作り込まれたフィッシングサイト」の連携にある。
攻撃者はまず「passkey」という単語を含むドメインを取得し、本物のMicrosoft Entraパスキー登録画面に酷似したフィッシングサイトを構築する。
次に社員に電話をかけ「セキュリティコンプライアンスの要件でパスキーを新規登録していただく必要があります」と説明し、フィッシングサイトへ誘導する。
攻撃者が操作するPHPパネルはリアルタイムで被害者の実際のMicrosoft 365アカウントと通信しており、各自のMFA設定（TOTP・プッシュ通知・SMS OTP）に合わせてフィッシングページの表示を動的に変化させる。
チップス相手が自分のMFA設定に合わせてページを変えてくるって、どうしてそんなことができるんでしゅか？
ボスフィッシングサイトが本物のMicrosoftに「中継」して、被害者が入力した認証情報を使って本物のアカウントにリアルタイムでログインしているからだ。「リアルタイムフィッシング」とも呼ばれる手法で、MFAを突破できる。
攻撃の5段階のシーケンスは以下のとおりだ。
アカウントを乗っ取った後の攻撃者の行動も、組織的なサイバー犯罪の実態を示している。
アカウント侵害後、O-UNC-066は攻撃者自身のパスキーを被害者アカウントに登録することで、パスワード変更後も永続的なアクセスを維持する。
窃取したデータは2026年4月から運営する「Pink」という名のデータ恐喝サイトで公開されており、身代金を支払わない組織の情報が暴露されている。
このグループは「The Com」と呼ばれる分散型サイバー犯罪集団に属しており、Scattered Spider など複数の関連グループと連携して活動しているとみられる。
チップスパスワードを変えても攻撃者がアクセスし続けられるって怖いでしゅ。どうすれば追い出せるんでしゅか？
ボスMicrosoft Entraの管理画面で「登録されているパスキー・認証器」を一覧表示して、見覚えのないデバイスをすべて削除する。その後すべての認証情報をリセットし、すべてのセッションを強制終了させることが必要だ。
今回の攻撃から身を守るための対策をまとめる。
O-UNC-066によるMicrosoft Entraパスキー偽装攻撃は、セキュリティ強化策の移行期を狙った巧妙な手口だ。
「電話でパスキー登録を求められる」というシナリオ自体を社員全員に周知し、正規の登録フローと区別できるよう教育することが、この攻撃への最も有効な対策となる。
チップスパスキーって安全だと思ってたんでしゅけど、その登録過程まで狙われるんでしゅね。チームに周知しましゅ！
ボスふふふ。技術は常に攻撃者も使う。「より安全な手段への移行期」は常に攻撃者にとって旨味のある時間だ。教育と確認手順の整備が人的セキュリティの要だ。
パスキーへの移行を進める企業は、登録フローに関するユーザー教育も同時に行い、「電話や不審なリンクでのパスキー登録依頼は詐欺」という意識を組織全体で共有してほしい。
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
