チェック・ポイント・リサーチ、Microsoftの正規の認証基盤を悪用した新型のフィッシングキャンペーンを確認

チェック・ポイント・ソフトウェア・テクノロジーズ株式会社
約120の組織を標的にした200通超のフィッシングメールで、Microsoftの正規の認証フローが悪用されている実態が判明

サイバーセキュリティソリューションのパイオニアであり、世界的リーダーであるチェック・ポイント・ソフトウェア・テクノロジーズ（Check Point(R) Software Technologies Ltd.、NASDAQ: CHKP、以下チェック・ポイント）の脅威インテリジェンス部門であるチェック・ポイント・リサーチ（Check Point Research、以下CPR）は、Microsoftの正規の認証基盤を悪用した新たなフィッシングキャンペーンを確認しました。

本調査は、攻撃者の手口が、偽のMicrosoftサインインページを用いる従来の手法から、Microsoftの正規の認証基盤そのものを悪用する手法へと急速に移行している実態を明らかにしています。これにより、従業員が訓練を通じて身につけてきた不審なサインの見分け方の多くが機能しなくなり、フィッシングキャンペーンが検知をすり抜けるケースが生じています。

CPRは、2026年6月25日から7月第2週にかけて、世界の幅広い業種・国にまたがる約120の組織のユーザーを標的とした、200通を超えるフィッシングメールを確認しました。これらのメールは、人事部門（HR）からのMicrosoft Teamsのタスク通知になりすまし、受信者を正規のMicrosoftサインインページへ誘導していました。被害者はその後、攻撃者が管理するアプリケーションに権限を付与するよう促され、これによりこのキャンペーンは、悪意を隠したままMicrosoftの信頼された認証フローを悪用できるようになっていました。

攻撃の手口
今回確認されたメールは、Microsoft Plannerのタスク割り当て通知になりすましたものです。送信者名は「There’s New Activity On Team」、件名は「HR@[company].com Sent 3 Messages Via Teams Chat」となっており、本文はTeamsのデザインを巧妙に模倣し、「Payroll, Compensation + Benefits Update（給与・報酬・福利厚生の更新）」に言及しています。さらに「4 Overdue Employee Tasks（未処理の従業員タスク4件）」というカウンターを表示することで、緊急性を演出し、素早いクリックを促す仕掛けになっています。本文中のリンクは、2つのCTA（行動喚起）ボタンを含め、いずれも同じリダイレクト先へ誘導する構造です。加えて、表示される送信者アドレスも標的自身の組織のものであり、受信者本人が自分自身にメールを送ったかのように見える点も特徴です。

Microsoft Plannerのタスク通知を装ったフィッシングメールの例


表示されるURLも画面も、偽装ではなく本物のMicrosoft認証ページ

攻撃の流れ
- ユーザーがリンクをクリックします。
- 開いたリンクには、偽装ドメイン（look-alikeドメイン）ではなく、正規の login.microsoftonline.com の OAuth 認可URLが表示されるため、不審に見えません。
- サインインすると、ユーザーは「権限を承認」または「組織を代表して承認」といった、許可を求めるプロンプト画面に進みます。
- 承認すると、Microsoftは最初のリクエストで指定された redirect_uri（リダイレクト先URL）へブラウザを転送します。このキャンペーンでの転送先は、Microsoftではなく、攻撃者が管理するAWS API Gatewayのエンドポイントです。
- 認可コード（またはトークン）はそのエンドポイントに渡され、攻撃者はそれをアクセス権と引き換えます。アクセス範囲や影響の大きさは、付与された権限と承認したアカウントによって決まります。

この手口はすでに一般化しており、さらに拡大を続けています。MITRE ATT&CKフレームワークにも名前が登録され、追跡対象とされているほか、2026年には、標的を絞って手作業で構築する攻撃から、事実上誰もが利用（レンタル）できるサービスへと進化しました。

個人および企業への影響
ユーザーが同意画面で承認する権限次第で、攻撃者が管理するアプリは、被害者のMicrosoft 365環境全体にわたって動作できるようになります。
- メール - 被害者のメールボックスからの読み取り・検索・送信（信頼された社内アドレスを踏み台にして、その後のBEC（ビジネスメール詐欺）へつなげる常とう手段）
- ファイル - ユーザーが開く・ダウンロード・共有できるあらゆる文書
- Teams - チャット、チャネルのメッセージ、共有された会話
- SharePoint - ユーザーがアクセスできる社内サイト、ドキュメントライブラリ、社内コンテンツ
- OneDrive - ユーザー個人のクラウドストレージ
- カレンダー - 会議、招待、出席者情報（偵察や、説得力のある追撃のおとりを仕掛けるタイミングの見極めに有用）


地域別の内訳
所在地を分類できた顧客のうち、地域別の分布は次のとおりです。
- 北米 - 98.3%
- アジア - 0.9%
- 中南米（LATAM） - 0.9%

業種別の内訳
業種を分類できた顧客のうち、上位の業種は次のとおりです。
- 産業・製造業 - 39通（19.3%）、15組織
- 法務・専門サービス - 28通（13.9%）、21組織
- 非営利団体・協会 - 22通（10.9%）、16組織
- 政府・公共部門 - 18通（8.9%）、9組織
- ヘルスケア - 14通（6.9%）、11組織
- その他 - 約40.1%（上記以外）

チェック・ポイントのメールセキュリティ研究者は、今回のキャンペーンについて、攻撃者がMicrosoftの正規の仕組みを隠れみのにすることで、企業が築いてきた見分け方そのものを無効化しつつあると指摘しています。ユーザーの目に映るものはすべて本物であり、虚偽が潜んでいるのは、アクセス権限を求めてくるアプリケーションの背後にある目的のみです。

このキャンペーンはすでに活動を終えていますが、攻撃者が従来のフィッシング対策を回避する手法を根本から変えつつあることを示す一例と言えます。

推奨対策
- クリックする前にリンクにマウスを重ね（ホバーし）、リンク先がメールで言及されているサービスと一致しているかを確認してください。異なるボタンが同じURLにつながっている場合は、注意が必要です。
- 送信者名、送信者アドレス、送信元ドメインが互いに一致しているかを確認してください。今回のキャンペーンでは、メールは受信者自身のメールアドレスから届いたように見える一方で、表示名はTeamsのアクティビティを装っていました。
- 社内アドレスから届いたように見える場合でも、表示名や送信者アドレスがなりすましや改ざんによるものである可能性を踏まえ、慎重に確認してください。
- 少しでも不審に感じたら、メール内のリンクを使うのではなく、Teamsなどのアプリケーションを公式アプリから直接開いてください。

なお、不審なメッセージに気づいた場合は、直ちに報告することが重要です。早期の報告により、セキュリティチームはアプリケーションを調査し、悪意のある同意（consent）を取り消し、影響を受けたアカウントを特定し、関連するキャンペーン活動をブロックできます。

本プレスリリースは、米国時間2026年7月29日に公開されたブログ（英語）をもとに作成しています。

Check Point Researchについて
Check Point Researchは、チェック・ポイントのお客様、脅威情報コミュニティを対象に最新のサイバー脅威インテリジェンスの情報を提供しています。チェック・ポイントの脅威インテリジェンスであるThreatCloud AIに保存されている世界中のサイバー攻撃に関するデータの収集・分析を行い、ハッカーを抑止しながら、自社製品に搭載される保護機能の有効性について開発に携わっています。100人以上のアナリストや研究者がチームに所属し、セキュリティベンダー、捜査当局、各CERT組織と協力しながら、サイバーセキュリティ対策に取り組んでいます。
ブログ: https://research.checkpoint.com/
X: https://x.com/_cpresearch_

チェック・ポイントについて
チェック・ポイント・ソフトウェア・テクノロジーズ（www.checkpoint.com）は、世界各国の10万を超える組織を保護するグローバルなサイバーセキュリティのリーダー企業です。チェック・ポイントは、企業の安全なAIトランスフォーメーションの保護をミッションとして掲げています。防止優先のアプローチとオープンエコシステムアーキテクチャを基盤に、組織がリスクを低減し、業務を簡素化して、自信を持ってイノベーションを推進できるよう支援します。チェック・ポイントの統合セキュリティアーキテクチャは、進化する脅威や拡大するAI攻撃対象領域に継続的に適応し、ハイブリッドネットワーク、クラウド環境、デジタルワークスペース、AIシステムを保護します。4つの戦略的柱であるハイブリッドメッシュネットワークセキュリティ、ワークスペースセキュリティ、エクスポージャー管理、AIセキュリティを軸に、チェック・ポイントは複雑なマルチベンダー環境全体にわたり、一貫した保護と可視性を提供します。チェック・ポイント・ソフトウェア・テクノロジーズの全額出資日本法人、チェック・ポイント・ソフトウェア・テクノロジーズ株式会社（https://www.checkpoint.com/jp/）は、1997年10月1日設立、東京都港区に拠点を置いています。

ソーシャルメディア アカウント
・Check Point Blog: https://blog.checkpoint.com
・Check Point Research Blog: https://research.checkpoint.com/
・YouTube: https://youtube.com/user/CPGlobal
・LinkedIn: https://www.linkedin.com/company/check-point-software-technologies/
・X: https://x.com/checkpointjapan
・Facebook: https://www.facebook.com/checkpointjapan

将来予想に関する記述についての法的な注意事項
本プレスリリースには、将来予想に関する記述が含まれています。将来予想に関する記述は、一般に将来の出来事や当社の将来的な財務または業績に関連するものです。本プレスリリース内の将来予想に関する記述には、チェック・ポイントの製品およびソリューションに関する見通し、将来的な成長、業界におけるリーダーシップの拡大、株主価値の上昇、および業界をリードするサイバーセキュリティプラットフォームを世界の顧客に提供することについての当社の見通しが含まれますが、これらに限定されるものではありません。これらの事項に関する当社の予想および信念は実現しない可能性があり、将来における実際の結果や事象は、リスクや不確実性がもたらす影響によって予想と大きく異なる可能性があります。本プレスリリースに含まれる将来予想に関する記述に伴うリスクや不確実性は、2026年3月31日にアメリカ合衆国証券取引委員会に提出した年次報告書（フォーム20-F）を含む証券取引委員会への提出書類に、より詳細に記されています。本プレスリリースに含まれる将来予想に関する記述は、本プレスリリースの日付時点においてチェック・ポイントが入手可能な情報に基づくものであり、チェック・ポイントは法的に特段の義務がある場合を除き、本プレスリリース記載の将来予想に関する記述について更新する義務を負わないものとします。

本件に関する報道関係者からのお問い合わせ
チェック・ポイント広報事務局 （合同会社NEXT PR内）
Tel: [phone]　Fax: [phone]
E-mail: [e-mail]