攻撃グループO-UNC-066がパスキー登録を偽装したVishing攻撃を複数業種に展開、Microsoft 365が標的に

「パスキーに移行したのに、それを使った攻撃があるって本当でしゅか？」
「電話で『パスキーを登録してください』と言われたらどうすればいいんでしゅか？」

チップス

ボス！パスキー認証への移行を進めているんでしゅけど、そのパスキー登録自体を騙す攻撃があるって聞いてびっくりしたんでしゅ。セキュリティを上げようとしたら逆に狙われるんでしゅか？

ボス

攻撃者は常に「ユーザーが慣れていない瞬間」を狙う。パスキーへの移行期は絶好の標的だ。O-UNC-066と呼ばれる攻撃グループが電話とフィッシングサイトを組み合わせた巧妙な手口でMicrosoft 365ユーザーを狙っている。

「セキュリティ強化のためにパスキーを登録してください」という電話が本物かどうか、受信した瞬間に判断するのは難しい。
攻撃の手口を知ることが、唯一の防衛策だ。

食品・飲料、技術、医療、自動車、建設、航空など幅広い業種が標的になっており、「うちには関係ない」とは言えない状況だ。

O-UNC-066の攻撃手口、電話×フィッシングサイトの組み合わせ

この攻撃の巧妙な点は「電話による信頼の確立」と「高度に作り込まれたフィッシングサイト」の連携にある。

5段階の攻撃シーケンス、被害者のMFA設定まで把握して対応

攻撃者はまず「passkey」という単語を含むドメインを取得し、本物のMicrosoft Entraパスキー登録画面に酷似したフィッシングサイトを構築する。
次に社員に電話をかけ「セキュリティコンプライアンスの要件でパスキーを新規登録していただく必要があります」と説明し、フィッシングサイトへ誘導する。
攻撃者が操作するPHPパネルはリアルタイムで被害者の実際のMicrosoft 365アカウントと通信しており、各自のMFA設定（TOTP・プッシュ通知・SMS OTP）に合わせてフィッシングページの表示を動的に変化させる。

チップス

相手が自分のMFA設定に合わせてページを変えてくるって、どうしてそんなことができるんでしゅか？

ボス

フィッシングサイトが本物のMicrosoftに「中継」して、被害者が入力した認証情報を使って本物のアカウントにリアルタイムでログインしているからだ。「リアルタイムフィッシング」とも呼ばれる手法で、MFAを突破できる。

攻撃の5段階のシーケンスは以下のとおりだ。

侵害後の行動、「Pink」データ恐喝サイトで被害情報を公開

アカウントを乗っ取った後の攻撃者の行動も、組織的なサイバー犯罪の実態を示している。

The Comと連携したデータ恐喝、April 2026から活動する「Pink」リークサイト

アカウント侵害後、O-UNC-066は攻撃者自身のパスキーを被害者アカウントに登録することで、パスワード変更後も永続的なアクセスを維持する。
窃取したデータは2026年4月から運営する「Pink」という名のデータ恐喝サイトで公開されており、身代金を支払わない組織の情報が暴露されている。
このグループは「The Com」と呼ばれる分散型サイバー犯罪集団に属しており、Scattered Spider など複数の関連グループと連携して活動しているとみられる。

チップス

パスワードを変えても攻撃者がアクセスし続けられるって怖いでしゅ。どうすれば追い出せるんでしゅか？

ボス

Microsoft Entraの管理画面で「登録されているパスキー・認証器」を一覧表示して、見覚えのないデバイスをすべて削除する。その後すべての認証情報をリセットし、すべてのセッションを強制終了させることが必要だ。

今回の攻撃から身を守るための対策をまとめる。

まとめ

O-UNC-066によるMicrosoft Entraパスキー偽装攻撃は、セキュリティ強化策の移行期を狙った巧妙な手口だ。
「電話でパスキー登録を求められる」というシナリオ自体を社員全員に周知し、正規の登録フローと区別できるよう教育することが、この攻撃への最も有効な対策となる。

チップス

パスキーって安全だと思ってたんでしゅけど、その登録過程まで狙われるんでしゅね。チームに周知しましゅ！

ボス

ふふふ。技術は常に攻撃者も使う。「より安全な手段への移行期」は常に攻撃者にとって旨味のある時間だ。教育と確認手順の整備が人的セキュリティの要だ。

パスキーへの移行を進める企業は、登録フローに関するユーザー教育も同時に行い、「電話や不審なリンクでのパスキー登録依頼は詐欺」という意識を組織全体で共有してほしい。