Office 365（現在は主にMicrosoft 365と呼ばれます）は、メール、ファイル共有、Teams、クラウドストレージなどを一体的に利用できる便利なサービスです。一方、業務で利用するアカウントやデータが集中しているため、フィッシングや不正ログイン、マルウェア配布の標的になることがあります。

Microsoft 365では、Exchange Onlineのマルウェア対策や検疫、配信後のメールを検出・除去する仕組みなどが用意されています。しかし、ユーザーが偽のMicrosoft 365ログイン画面へ認証情報を入力した場合や、悪意あるOAuthアプリへ権限を与えた場合、Teams上で偽サポートへ誘導された場合など、標準的なマルウェア検査だけでは防ぎきれないケースもあります。

さらに、Microsoft 365の侵害では、端末上のマルウェアだけでなく、正規アカウント・正規API・メールルール・OAuthトークンなどの正規機能が攻撃に悪用されることがあります。そのため、メールセキュリティだけではなく、Entra ID、Exchange、OneDrive、SharePoint、Teams、端末側EDRを横断して確認する必要があります。

そこで本記事では、Office 365／Microsoft 365を狙う主なマルウェア・侵害経路、標準の保護機能、管理者が優先したいセキュリティ対策、不正アクセスを疑うサイン、侵害時の初動、フォレンジック調査で被害範囲を確認する方法までを解説します。

Office 365・Microsoft 365を狙う主なマルウェア・侵害経路

Microsoft 365環境では、WordやExcelのマクロだけでなく、メール、認証、クラウド共有、OAuth、Teamsなど複数の入口が攻撃に利用されます。

Outlookメールの悪性添付・フィッシングURL

Outlookメールでは、悪性添付、パスワード付きアーカイブ、HTML、QRコード、フィッシングURLなどが攻撃の入口になります。

「共有ファイルがあります」「請求書をご確認ください」「MFAの再登録が必要です」など、業務上もっともらしい内容で利用者を誘導する手口があります。

添付ファイルから直接マルウェアを実行させる場合もあれば、リンク先の偽ログインページへ認証情報を入力させる場合もあります。

偽のMicrosoft 365ログイン画面

Microsoft 365のサインイン画面に酷似した偽ページへ誘導し、メールアドレス、パスワード、MFAコードなどを入力させる手口です。

認証情報を取得されると、攻撃者が正規ユーザーとしてExchange OnlineやOneDrive、SharePointへアクセスする可能性があります。

その後、メール転送ルールを追加したり、取引先へのなりすましメールを送信したり、クラウド上の機密情報を探索したりする被害へ発展することがあります。

OAuthアプリへの不正な同意

攻撃者が用意したアプリへ「メールの読み取り」「ファイルへのアクセス」などの権限をユーザー自身に許可させる手口があります。

この場合、単純にパスワードを変更しても、悪意あるアプリへ発行済みの権限やトークンが残っていればアクセスが続く可能性があります。

OneDrive・SharePointを悪用したファイル共有

OneDriveやSharePointでは、悪性ファイルを共有したり、侵害したアカウントから機密データを大量にダウンロードしたりする攻撃が考えられます。

同期済みの端末がランサムウェアに感染すると、同期フォルダ内のファイルが暗号化・改変され、その変更がクラウド側へ反映される可能性もあります。

Teamsを利用した偽サポート・遠隔操作誘導

Teamsでは、外部ユーザーや侵害済みアカウントからITサポート担当を装って連絡し、Quick Assistなどのリモート操作を受け入れさせる手口があります。

利用者が遠隔操作を許可すると、攻撃者が端末へマルウェアやバックドアを導入し、ランサムウェア展開などへつなげる可能性があります。

Microsoft 365では「正規機能の悪用」に注意する

Microsoft 365侵害では、不審な.exeを実行するようなケースだけが問題ではありません。

正規ユーザー、正規API、正規クラウド共有、正規リモート支援機能が攻撃に使われることもあるため、単純なウイルススキャンだけで安全性を判断することはできません。

Microsoft 365に標準搭載されているマルウェア対策

Exchange Onlineなどには、メール経由のマルウェアを検出・隔離するための保護機能が用意されています。

Exchange Onlineのマルウェア対策

Exchange Onlineでは、クラウドメールボックスに対するマルウェア対策が提供されています。

悪性添付などを検出した場合、利用者へそのまま配信せず、ポリシーに基づいて処理します。

悪性メッセージの検疫

疑わしい添付ファイルやメッセージは検疫される場合があります。

ただし、許可リストや例外設定が過剰だと保護を弱める可能性があるため、定期的な見直しが必要です。

ヒューリスティック検査

既知のマルウェアだけではなく、疑わしい特徴を持つファイルも検査対象になります。

ZAPによる配信後メールの除去

ZAP（Zero-hour Auto Purge）は、いったんメールボックスへ配信された後で悪性と判定されたメッセージを処理する仕組みです。

Defender for Office 365による追加保護

Defender for Office 365では、Safe Links、Safe Attachments、なりすまし対策などを利用できます。

導入している場合は、単に有効化するだけでなく、適用範囲、例外、検疫運用なども確認することが重要です。

標準保護だけでは防げない攻撃もある

リンク先で利用者自身がパスワードを入力した場合や、OAuthアプリへ正規の同意を与えた場合、Teams上で遠隔操作を許可した場合などは、メール添付のマルウェア検査だけでは防ぎきれません。

メール保護、ID保護、端末保護、クラウド監査を組み合わせることが重要です。

Microsoft 365管理者が優先したいセキュリティ対策

Microsoft 365では、アカウント侵害と正規クラウド機能の悪用を前提に防御を設計する必要があります。

フィッシング耐性のあるMFAを導入する

可能であれば、FIDO2セキュリティキー、Windows Hello for Business、証明書ベース認証などを利用し、SMSや音声認証だけに依存しない構成にします。

条件付きアクセスも併用し、レガシー認証、リスクの高いサインイン、非準拠端末からの接続を制限します。

Defender for Office 365を適切に設定する

Safe Links、Safe Attachments、なりすまし対策、メールボックスインテリジェンス、ZAP、検疫などを業務要件に合わせて設定します。

許可リストや例外設定が広すぎないかも定期的に確認してください。

OAuthアプリ同意を制限する

ユーザーが任意のOAuthアプリへ広範な権限を与えられる状態は、クラウド侵害につながる可能性があります。

管理者承認フローを整備し、Mail.Read、Mail.ReadWrite、offline_access、Files関連など、広い権限を持つアプリを定期的に棚卸しします。

Teamsの外部アクセスを見直す

外部テナントからのチャット、会議、ファイル共有などを、業務上必要な範囲へ限定します。

あわせて「ITサポート担当者が突然Teamsから遠隔操作を依頼する」といった手口への教育も必要です。

OneDrive・SharePointの復旧手段を整備する

OneDriveやSharePointでは、バージョン履歴や保持ポリシーを確認し、大量削除やランサムウェアによる暗号化を想定した復旧手順を整備します。

重要データについては、必要に応じてMicrosoft 365環境とは独立したバックアップも検討します。

Entra ID・Exchange・SaaS監査ログを集約する

Entra IDのサインインログ、Microsoft 365監査ログ、Exchange、OneDrive、SharePoint、Teams、EDRなどをSIEM等へ集約し、横断的に分析できる状態にします。

Microsoft 365でマルウェア・不正アクセスを疑うサイン

Microsoft 365の侵害では、端末上のウイルス警告が出ないまま、クラウド側だけで不正操作が続くことがあります。

海外IP・通常と異なる端末からのサインイン

Entra IDのサインインログで、普段利用しない国・地域、匿名化IP、通常とは異なる端末・ブラウザなどから成功ログインしていないか確認します。

ただし、IP情報だけで攻撃者本人と断定することはできません。MFA結果やその後の操作とあわせて確認します。

MFA承認要求が突然増える

身に覚えのないMFAプッシュ通知が何度も届く場合は、攻撃者がパスワードを取得し、MFA承認を狙っている可能性があります。

不審なメール転送・受信トレイルールがある

侵害したメールボックスへ、外部転送、特定メールの削除、既読化などのルールを追加する攻撃があります。

ユーザーが作成した覚えのないルールや委任権限がないか確認してください。

見覚えのないOAuthアプリ・サービスプリンシパルがある

新規のアプリ同意、サービスプリンシパル、広範な権限付与などがないか確認します。

パスワード変更後もアクセスが続いている場合は、OAuthトークンやアプリ権限も確認対象になります。

OneDrive・SharePointで大量変更が発生する

短時間で大量のファイルが更新、削除、リネームされている場合は、ランサムウェアや侵害アカウントによる操作を疑います。

Teamsで外部ユーザーから不審な接触がある

ITサポートを装った外部ユーザーから、Quick Assistや画面共有、ファイル実行を求められた場合は注意が必要です。

OfficeからPowerShellなどが起動している

端末上では、WordやExcelなどのOfficeアプリを親プロセスとしてPowerShell、mshta、rundll32、wscriptなどが起動していないか確認します。

クラウドと端末を別々に見ない

たとえばメールフィッシングが起点であっても、最終的には端末マルウェアとMicrosoft 365アカウント侵害の両方が発生することがあります。

Entra ID・Exchange・Teams・OneDrive・EDRを同じ時系列で確認することが重要です。

Microsoft 365の侵害が疑われる場合の対処法

侵害の疑いがある場合は、アカウントを保護しながら、悪性設定や端末感染の有無を確認します。

対象アカウントのセッションを失効する

侵害が疑われるユーザーについて、既存のサインインセッションやリフレッシュトークンを失効させます。

パスワード変更だけでは、攻撃者が保持している既存セッションが残る場合があります。

パスワードを変更する

クリーンと判断できる管理端末から、新しい固有パスワードへ変更します。

同じパスワードを別サービスでも利用している場合は、そちらも見直します。

MFA登録方法・回復情報を確認する

見覚えのない認証方法、電話番号、認証アプリ、回復先などが追加されていないか確認します。

OAuthアプリ・メールルールを確認する

不審なOAuthアプリ、サービスプリンシパル、アプリパスワード、メール転送、受信トレイルール、委任権限などを確認します。

不正なものがあれば、証跡を保全してから必要な無効化・削除を行います。

侵害端末をネットワークから隔離する

悪性添付の実行やリモート操作が行われた端末は、EDRの隔離機能などを利用してネットワークから切り離します。

フォレンジック調査が必要な場合は、安易な初期化やログ削除を避けてください。

同一IOCでテナント全体を確認する

同じURL、添付ハッシュ、送信元、OAuthアプリ、IP、ドメインなどをキーに、他ユーザーへ被害が広がっていないか確認します。

取引先へのなりすましメールが送信されている場合は、社外への注意喚起も検討します。

Microsoft 365侵害では、「パスワードを変えたから復旧完了」と判断しないことが重要です。OAuth、メール転送、認証方法、端末側マルウェアなどが残っていないか確認してください。

Microsoft 365のマルウェア感染を防ぐための再発防止策

インシデント対応後は、メールだけではなくID、端末、OAuth、クラウド共有を含めた再発防止を行います。

フィッシング耐性MFAを標準化する

重要アカウントや管理者から、FIDO2、Windows Hello for Businessなどへ移行します。

レガシー認証・不要な外部アクセスを停止する

古い認証方式や業務上不要な外部接続を制限し、攻撃面を減らします。

OAuthアプリ権限を定期レビューする

アプリ同意を一度確認して終わりにせず、定期的に棚卸しします。

メール・Teams経由のサポート詐欺を教育する

社内IT担当者が利用者へ連絡する正規チャネルを決め、突然のリモート操作依頼に応じないルールを共有します。

OneDrive・SharePointの復旧テストを実施する

大量削除、ランサムウェア、誤操作などを想定し、実際にデータを復元できるか定期的に確認します。

ログをSIEMで継続監視する

Entra ID、Exchange、Teams、SharePoint、OneDrive、EDRなどを横断して、異常ログインや大量操作を継続監視します。

Microsoft 365侵害をフォレンジック調査で確認する方法

Microsoft 365で不審なログインやマルウェア感染が見つかった場合、単一のメールや端末だけでは被害範囲を判断できないことがあります。

侵入に使われたメール・URL・アカウント

Exchangeのメール記録、メール原文、URL、添付ファイル、受信者などを確認し、どのメールが侵害の起点になった可能性があるか整理します。

不正サインイン・MFA悪用の有無

Entra IDのサインインログ、MFA結果、端末情報、IP、ユーザーエージェントなどを確認し、認証情報が実際に悪用された可能性を調査します。

OAuth・メールルールによる永続化

不審なOAuthアプリ、サービスプリンシパル、メール転送、受信トレイルール、委任権限などが追加されていないか確認します。

OneDrive・SharePointからの情報取得

監査ログから、大量ダウンロード、外部共有、ファイルアクセス、削除・変更などを確認し、情報流出の可能性を整理します。

端末マルウェア・横展開の有無

EDRやWindowsログなどから、悪性添付の実行、PowerShell、リモート操作ツール、不審通信、他端末への横展開を確認します。

Microsoft 365の不正アクセスをフォレンジック調査会社に相談する

単に不審メールを受信しただけで、URLや添付を開いていない場合は、直ちに専門調査が必要とは限りません。

一方、偽ログイン画面へ認証情報を入力した、未知のOAuthアプリへ同意した、Teamsで遠隔操作を許可した、不審なサインイン・メール転送・大量ダウンロードが確認された場合は、Microsoft 365アカウントと端末の両方を詳しく確認する必要があります。

アカウントやメールルールを削除したり、端末を初期化したりすると、どの経路から侵入され、どのデータへアクセスされたのかを確認する証拠が失われる恐れがあります。被害範囲や情報流出の有無を明らかにしたい場合は、ログや端末を保全した状態でフォレンジック調査会社への相談を検討してください。

おすすめのフォレンジック調査会社

公式サイトデジタルデータフォレンジック

編集部が厳選したおすすめのフォレンジック調査会社は、デジタルデータフォレンジックです。

デジタルデータフォレンジックは、累計4万7千件以上の豊富な相談実績を持ち、全国各地の警察・捜査機関からの相談実績も409件以上ある国内有数のフォレンジック調査サービスです。

24時間365日の相談窓口があり、緊急時でも安心です。相談から見積りまで無料で対応してくれるので、フォレンジック調査の依頼が初めてという方もまずは気軽に相談してみることをおすすめします。

【厳格調査】デジタルデータフォレンジックの評判は？口コミや評価、料金体系からサービスを調査

2024.3.5

フォレンジックとは「パソコンやHDD、スマートフォンなどのデジタル端末に残されたログやデータ類を抽出し、サイバーセキュリティ調査や法的紛争支援などを行う」技術です。 近年はデジタル技術の急拡大により、

【2026年版】ハッキング調査会社を見分けるポイント6選！費用相場や悪徳業者の特徴も解説

2024.3.5

会社や自分のパソコンやスマホがハッキングされたかもしれないと気付いたとき、どうやって調査すればよいのでしょうか。 「パソコンが遠隔操作され、詐欺にあったかもしれない…」

まとめ

Office 365／Microsoft 365では、Outlookの悪性添付だけでなく、偽ログイン画面、OAuthアプリ同意、OneDrive・SharePoint、Teamsなどが攻撃の入口になります。特に正規アカウントや正規APIを悪用されると、一般的なマルウェア検知だけでは発見しにくい場合があります。

予防では、フィッシング耐性MFA、Defender for Office 365、OAuth同意制御、Teamsの外部アクセス制限、OneDrive・SharePointの復旧体制、Entra IDやExchangeを含む監査ログの継続監視が重要です。

また、不審なサインイン、メール転送、OAuthアプリ、大量ダウンロードなどが確認された場合は、パスワード変更だけで終わらせず、セッション失効、MFA、OAuth、メールルール、端末側マルウェアまで確認してください。侵入経路や情報流出の有無が分からない場合は、ログや端末を削除せず、フォレンジック調査でMicrosoft 365全体の被害範囲を確認することが重要です。