"Microsoft 365ユーザーを狙うビッシング攻撃―偽セキュリティ部門を装いパスキー登録を誘導"
Microsoft 365ユーザーを狙うビッシング攻撃―偽セキュリティ部門を装いパスキー登録を誘導
| 項目 | 内容 |
|---|---|
| ジャンル | セキュリティ |
| 日付 | 2026-07-09 |
| 元記事 | Bleeping Computer |
要約
複数業界の組織がビッシング（音声フィッシング）攻撃の標的となっており、攻撃者は会社のセキュリティ部門になりすまして電話をかけ、Microsoft EntraへのパスキーをATTACKER制御のデバイスに登録させる手口が確認された。パスキーは本来フィッシング耐性の高い認証手段として期待されているが、ソーシャルエンジニアリングで登録フローを悪用されると攻撃者がアカウントを完全に乗っ取れる。企業の条件付きアクセスポリシーへのパスキー登録検証の追加と、社員への意識教育が不可欠だ。多要素認証を回避する社会工学的手口は高度化しており、技術的な認証強度だけでなく人的防御の強化が求められる。