「うちはMFAを入れているから大丈夫」——そう思っていませんか？

実は今、MFAを突破する攻撃が現実の脅威として多発しています。その手口が AiTM（Adversary-in-The-Middle）攻撃 です。中間者攻撃とも呼ばれ、フィッシングサイトを経由してセッションCookieを盗み、MFAを完全にバイパスしてしまいます。

2026年に入ってから国内外の企業での被害報告が急増しており、Microsoft 365環境を狙った攻撃が特に目立っています。

今回はSOCエンジニアの視点から、「今すぐ見直すべきMicrosoft 365のセキュリティ設定」を30項目のチェックリスト形式でまとめました。自社の設定状況を確認しながら読んでみてください。

AiTM攻撃の仕組みを30秒で理解する

通常のフィッシング攻撃は「偽サイトでパスワードを入力させる」ものです。でもMFAが普及した今、パスワードだけでは攻撃者はログインできません。

AiTM攻撃では、攻撃者が用意した中継サーバーを本物のMicrosoftサービスとユーザーの間に置きます。ユーザーが中継サーバー経由でMicrosoftに本物のMFA認証を完了させた瞬間に、攻撃者はセッションCookieを丸ごと盗みます。このCookieがあれば、MFAなしで被害者のアカウントに入れてしまいます。

パスワード＋MFAという組み合わせが通用しない攻撃です。だからこそ、設定レベルでの多層防御が重要になります。

チェックリスト30選

【認証・アクセス制御】

  • ① パスキー（FIDO2）認証を主要ユーザーに展開している
    AiTM耐性のある認証方式。フィッシングサイトでは認証できないため、AiTM攻撃を根本から防げます。
  • ② 条件付きアクセスで「準拠デバイスのみ許可」を設定している
    管理外デバイスからのアクセスをブロックします。
  • ③ 条件付きアクセスで「高リスクサインイン」に対してMFA再認証または拒否を設定している
    Entra ID Protectionのリスク評価と連携します。
  • ④ レガシー認証プロトコル（IMAP・POP・SMTPAuth）をブロックしている
    AiTM攻撃でCookieを盗まれた後、レガシー認証経由で再アクセスされるケースがあります。
  • ⑤ 一時アクセスパス（TAP）の発行を制限している
    TAPが攻撃者に発行されると、MFAなしでアカウントに入られます。
  • ⑥ セキュリティキー（FIDO2）の登録フローを保護している
    攻撃者が新しい認証デバイスを登録するのを防ぐため、TAPやMFAの再確認が必要な設定に。
  • ⑦ 外部アクセスには必ずMFAを要求している
    社内ネットワーク外からのアクセスは条件付きアクセスで制御。
  • ⑧ グローバル管理者アカウントに専用デバイスを割り当てている
    管理者アカウントは通常業務とは切り離すのが原則。
  • ⑨ 管理者ロールへのPIM（Privileged Identity Management）を適用している
    必要なときだけ昇格させるJIT（Just-In-Time）アクセス管理。
  • ⑩ 緊急アクセスアカウント（Break Glass）を設定し、監視している
    条件付きアクセスから除外した緊急用アカウントのサインインアラートを必ず設定。

【メールセキュリティ】

  • ⑪ DMARCポリシーを p=reject に設定している
    自社ドメインなりすましメールを受信側でブロック。
  • ⑫ SPFレコードを最新の状態に保っている
    送信元IPが増えたタイミングで更新漏れが多発します。
  • ⑬ DKIMを全送信ドメインで有効化している
    メール署名の検証により改ざんを検知。
  • ⑭ Defender for Office 365の「安全なリンク」を有効化している
    クリック時にリアルタイムでURLを評価・ブロック。AiTM攻撃の入口を塞ぐ有効な対策。
  • ⑮ 「安全な添付ファイル」ポリシーを有効化している
    添付ファイルをサンドボックスで実行して検査。
  • ⑯ フィッシング対策ポリシーで「なりすまし保護」を有効化している
    役員や取引先のなりすましドメインを検知。
  • ⑰ 外部メールへの警告バナーを表示している
    受信者に「これは外部からのメールです」と視覚的に通知。
  • ⑱ メール転送ルール（外部への自動転送）をブロックしている
    AiTM攻撃で侵害後、攻撃者がメール転送ルールを設定するケースが多い。
  • ⑲ 共有メールボックスへのダイレクトサインインをブロックしている
    共有メールボックスは悪用されやすいため、サインインブロックが推奨。
  • ⑳ メールの監査ログを90日以上保持している
    Defender for Office 365のE5ライセンスで最長10年保持が可能。

【監視・検知】

  • ㉑ Entra ID Protectionのリスクユーザーアラートを設定している
    漏洩認証情報・異常なサインインなどを自動検出。
  • ㉒ サインインログを定期的にレビューする運用がある
    週次・月次でのレビューサイクルを設けること。
  • ㉓ Microsoft SentinelなどのSIEMにEntraログを連携している
    単体ポータルでの確認より、SIEM連携によるアラート自動化が重要。
  • ㉔ AiTM攻撃を検知するKQLルールを作成している
    「MFA成功後に短時間で異なる国からのアクセス」などの検知ルールが有効。
  • ㉕ インシデント対応プレイブックにアカウント侵害シナリオが含まれている
    発見から隔離・パスワードリセット・証跡取得までの手順を事前に整備。

【アプリ・データ保護】

  • ㉖ OAuth同意フローを管理者承認制に設定している
    悪意あるサードパーティアプリがデータにアクセスするのを防ぐ。
  • ㉗ DLP（データ損失防止）ポリシーを主要なデータ種別に適用している
    クレジットカード番号・マイナンバー等の送信を検知・ブロック。
  • ㉘ Teams/SharePointの外部共有設定を最小権限に設定している
    デフォルト設定のままだと過剰な外部共有が可能な状態になっていることも。
  • ㉙ Microsoft Defender for Cloud Appsで認可済みアプリを定義している
    シャドーSaaSの検出と制御が可能。
  • ㉚ Microsoft Secure Score を月次でレビューしている
    推奨アクションを定期的に確認し、優先度の高いものから対応する。

何項目チェックできましたか？

30項目すべてに対応できている企業は、実際にはかなり少ないです。弊社がご支援する企業でも、最初のアセスメントで「20項目以下しか対応できていなかった」というケースは珍しくありません。

特に危険なのが⑪〜⑳のメールセキュリティ領域です。DMARCがp=noneのまま（つまりなりすましを許可している状態）の企業は今でも多く、そこが侵害の入口になっています。

また、㉑〜㉕の監視・検知が整備されていないと、侵害が発生しても気づくのが遅れ、被害が拡大します。

対応しきれていないと感じたら

このチェックリストを見て「設定の意味は分かるが、対応する時間も人もない」という方が多いのが現実です。

Colorkrew SecurityのSOCサービスでは、Microsoft 365環境の設定アセスメントから、監視ルールの構築・インシデント対応まで一貫してサポートしています。「まず現状を診断してほしい」というご相談からでも、ぜひお気軽にどうぞ。