1. なぜMicrosoft 365が狙われるのか
Microsoft 365（M365）は、メール（Outlook）、ファイル（SharePoint、OneDrive）、チャット（Teams）など、企業の情報とコミュニケーションが集まる中枢です。だからこそ、攻撃者にとって、Microsoft 365は最も価値の高い標的の一つになっています。ここを乗っ取れば、機密メールを読み、ファイルを盗み、社内になりすましメールを送り、さらなる攻撃の足がかりにできるからです。
実際、Microsoft 365のアカウントを狙ったフィッシングや不正ログインは、後を絶ちません。ビジネスメール詐欺（BEC）の多くも、乗っ取られたMicrosoft 365アカウントから始まります。そして問題は、多くの組織で、Microsoft 365がいまだにパスワードだけ、あるいは弱い認証で守られていることです。企業の中枢が、最も破られやすい状態で放置されている——これが、狙われる大きな理由なのです。Microsoft 365の認証を担うのは、前述のEntra ID（Entra IDとは）です。
2. 認証を強化する4つのステップ
| ステップ | 内容 |
|---|---|
| STEP1 多要素認証（MFA）を必須にする | 全ユーザーにMFAを適用。パスワードだけの状態を脱する（最優先） |
| STEP2 レガシー認証をブロックする | MFAを回避できる古い認証方式を無効化する |
| STEP3 条件付きアクセスを設定する | 場所・端末・リスクに応じて、アクセスを動的に制御する |
| STEP4 パスワードレスへ移行する | フィッシングに強いパスワードレス認証を導入する（到達点） |
まずSTEP1 多要素認証（MFA）を全ユーザーに必須にすることが、最優先かつ最も効果的です。これだけで、パスワードが漏れても不正ログインの大半を防げます。次にSTEP2 レガシー認証のブロック。古いメール接続方式などは、MFAを回避できてしまう「抜け穴」になるため、無効化します。そしてSTEP3 条件付きアクセスで、「普段と違う国からのアクセスには追加認証を求める」といった、状況に応じた制御を加えます。これらはEntra IDの機能で実現できます。
Microsoft 365、パスワードだけで守っていませんか？
MFA・条件付きアクセスから、パスワードレス化まで。Net Peaceが、Microsoft 365の認証強化を支援します。
3. 「MFAを入れたのに破られた」を防ぐ
ここで、重要な注意点があります。「Microsoft 365にMFAを入れたのに、アカウントを乗っ取られた」という事例が、実際に起きているのです。なぜでしょうか。
原因の多くは、中間者型（AiTM）フィッシングです。攻撃者は、本物そっくりのMicrosoft 365ログイン画面を用意し、被害者にパスワードとMFAの確認コードを入力させ、さらにログイン後のセッション情報まで盗み取ります。こうなると、パスワードもMFAコードもセッションも攻撃者の手に渡り、MFAを設定していても突破されてしまいます。近年、Microsoft 365を狙うこの手口が急増していると報告されています。つまり、パスワード＋コードのMFAには、フィッシングで突破される限界があるのです。「MFAを入れたから安心」ではなく、その先を見据える必要があります。
4. 最終的な守り——パスワードレス
「MFAでも破られる」フィッシングを防ぐ最終的な守りが、パスワードレス認証（FIDO2/パスキー）です。そして、Microsoft 365を提供するMicrosoft自身が、これを強く推奨しています。
Microsoft 365（Entra ID）は、Windows Hello for Business、FIDO2セキュリティキー、パスキーといった、フィッシングに強いパスワードレス認証に標準で対応しています。これらは、パスワードも、盗めるコードも使いません。しかも、アクセス先が本物のMicrosoftのサイトかを技術的に確認するため、偽サイトに認証情報を渡す中間者型フィッシングが原理的に成立しません。前述の「MFAを入れたのに破られた」事態を、根本から防げるのです。Microsoftがパスワードを「最も弱い認証」と位置づけ、パスワードレスへの移行を公式に推奨しているのは、まさにこのためです。
米国NISTをはじめ世界のセキュリティガイドラインが最終的に求める認証も、このフィッシングに強いパスワードレスです。Microsoft 365の認証強化は、MFA・条件付きアクセスから始めて構いません。しかし、その到達点は、パスワードレスです。企業の中枢であるMicrosoft 365だからこそ、その入口を、盗みようのないパスワードレスで固める——それが、狙われるクラウドを守る、最善の答えなのです。
5. まとめ
Microsoft 365は、企業の情報が集まる中枢であるがゆえに、攻撃者に最も狙われるクラウドの一つです。パスワードだけ、あるいは弱い認証のまま放置するのは極めて危険です。①MFAを全ユーザーに必須化、②レガシー認証のブロック、③条件付きアクセス、④パスワードレスへの移行、という4つのステップで、認証を強化することが重要です。
ただし、パスワード＋コードのMFAには、中間者型フィッシングで突破される限界があり、「MFAを入れたのに破られた」事態も実際に起きています。これを根本から防ぐのが、Microsoft自身も推奨するパスワードレス認証（FIDO2/パスキー）です。世界のガイドラインが最終的に求めるのも、このパスワードレスです。まずMFAで守りを固め、その到達点としてパスワードレスを目指しましょう。Microsoft 365の認証強化でお困りなら、専門家にご相談ください。