Microsoft 365で増える「正規ログイン悪用型」フィッシング― OAuth デバイスコード攻撃と“クラウド法務”による防御設計 ―

Microsoft 365 環境で、MFA を有効にしていても侵害される 新しい攻撃が増えています。

それはOAuth 2.0 デバイスコード認証（Device Code Flow）を悪用する攻撃です。

本記事では、

• 技術的な防御策

• それを どう説明責任・監査・契約リスクに耐えさせるかという クラウド法務の視点まで含めて整理します。

なにが起きているのか？

攻撃の流れは以下です。

1. メールや QR コードで「Microsoft の確認」「Teams 通知」などと誘導

2. ユーザーを 正規の Microsoft ログイン画面 に案内

3. 表示された デバイスコードを入力・承認

4. 攻撃者が OAuth トークンを取得

5. パスワードも MFA も盗まず アカウントを掌握

正規画面を使うため、従来の注意喚起が通用しません。

なぜ「技術的には正しいのに」事故になるのか

ここで重要なのが技術設定と説明責任の断絶です。

• OAuth 同意が ユーザー判断に委ねられている

• Device Code Flow の 使用条件が設計されていない

• 事故後に「なぜ承認できたのか」を説明できない

これは単なるセキュリティ事故ではなく、統制設計不備による管理責任問題になります。

対策① ユーザー同意を制御する（最優先）

技術設定

Microsoft Entra IDEnterprise applications → Consent and permissions

• User consent を無効化または

• Verified Publisher のみ許可

• Admin consent workflow を有効化

クラウド法務の視点

• 「誰が OAuth 利用を決裁するのか」

• 「承認は業務判断か、技術判断か」

承認権限を“個人”から“組織”へ戻す設計が必要です。

対策② Device Code Flow を条件付きアクセスで縛る

推奨設計

• Authentication flows：Device code flow

• 信頼済みロケーション限定

• Compliant デバイス必須

• MFA 必須

クラウド法務の視点

• 「どこから・誰が・何目的で」使えるのか

• 逸脱した利用は 統制違反として説明可能か

条件付きアクセスは“技術制御”であり“統制文書”でもあるという認識が重要です。

対策③ OAuth アプリの棚卸し

技術対応

• 不要な Enterprise Application を削除

• User assignment required = Yes

• 権限過多アプリの是正

クラウド法務の視点

• 「なぜこのアプリが存在するのか」

• 「誰が許可し、誰が管理するのか」

説明できないアプリは存在してはいけないこれが監査の基本です。

対策④ 監視とログは“証拠”として設計する

技術監視

• Sign-in Logs（Client App = Device Code）

• OAuth 同意イベント監視

• Sentinel / Defender 連携

クラウド法務の視点

Microsoft SentinelMicrosoft Defender

ログは**「見るため」ではなく「説明するため」**に残します。

• いつ

• 誰が

• なぜ遮断されたか

を 第三者に示せる形で保持することが重要です。

対策⑤ ユーザー教育は“一文”で足りる

「Microsoft の画面でも、コード入力や承認を求められたら即通報」

これは利用者に責任を押し付ける教育ではありません。

• 組織が設計したルールを

• 利用者に“判断材料として渡す”それが正しい教育です。

事故時の即時対応（責任分界を崩さない）

1. セッション失効

2. OAuth アプリ無効化・同意削除

3. トークン失効

4. 影響範囲調査

5. 再発防止設計の文書化

ここで「設定はしていた」では足りません。

• なぜ防げなかったか

• なぜその設計だったかを説明できる状態が必要です。

• 
  

山崎行政書士事務所のクラウド法務とは

山崎行政書士事務所 のクラウド法務は、

• Microsoft 365 / Azure の設定・ログ・統制設計

• それを監査・取引先・社内説明に耐える形へ整理

• 「技術」と「責任」を一つの構成として設計

する支援です。

Secure Score が高い＝説明責任を果たせるではありません。

まとめ

• OAuth 攻撃は 技術の穴ではなく設計の穴

• 防御は 設定＋統制＋説明責任

• クラウド時代のセキュリティは「止める」より「説明できる」ことが重要

  
  

参照リンク集

• Microsoft Entra ID

• Microsoft Conditional Access

• OAuth 2.0 Device Code Flow

• Microsoft Sentinel

• Microsoft Defender for Cloud Apps

• Proofpoint Threat Insight（Device Code Phishing）

• Help Net Security（Microsoft 365 OAuth Phishing）

• 山崎行政書士事務所https://www.shizuoka-yamazaki-jimusho.com/