深刻化するMicrosoft 365のアカウント乗っ取り、調査で見えた攻撃者の実態

　IDとそれに付加された特権アクセスの不正利用は、昨今のSaaS環境における最大のセキュリティリスクといえる。中でも、月間2億5000万以上のアクティブユーザーを抱え、データ共有やストレージ、コミュニケーションの中核になるMicrosoft 365（旧：Office 365）は、攻撃者の格好の標的となっている。

　多くの侵害行為の中でも、特に深刻な状況を生み出しているのがアカウントの乗っ取りだ。近年よく見られる不審な振る舞いには「ラテラルムーブメント」や「C＆C（コマンド＆コントロール）」などがあり、こうした攻撃はPower AutomateやeDiscoveryといった正規のツール上で行われている。そうすることで攻撃者は、離れた場所に隠れた状態でセキュリティコントロールを回避するのだ。

　本資料では400万のアカウントを観察した調査の結果を交えながら、Microsoft 365への攻撃に用いられる共通のテクニックや、不審な振る舞いのトップ10を明らかにする。2つの被害事例では対策に用いられたセキュリティ製品についても言及しているので、参考にしてほしい。