「Microsoft 365」が乗っ取られる 跡形もなくMFAを破る手口

この攻撃における初期侵入は、人事部を装った1通のスピアフィッシングメールから始まった。メールの件名は「PTO Request Denied」（有給休暇申請の却下）であり、標的となった財務担当者の氏名や役職が正確に記載されていた。 メール内に設置されたボタンには、アクセスを追跡するリンクが仕込まれており、エンドユーザーがクリックすると多段リダイレクトが起動して偽のMicrosoft 365サインインページに到達する仕組みだった。ここでエンドユーザーが気付かないままMFAのプロンプトを承認すると、AiTM（Adversary-in-the-Middle：中間者）リレーが作動する。 この手法によって、攻撃者はパスワードだけではなく認証済みのセッショントークンそのものを窃取する。結果としてMFAは無力化され、攻撃者は窃取したトークンを海外の商用VPNインフラから再利用し、正規ユーザーとしてシステム