PhaaS「Mirage2FA」が4,500組織に波及 — Microsoft 365の正規ログイン経路を悪用し2FAを迂回

フィッシングをサービスとして提供するPhaaS（Phishing-as-a-Service）ツール「Mirage2FA」によるキャンペーンが、2024年から2026年にかけて拡大している。ANY.RUNの分析によると、影響は4,532の組織ドメインに及び、標的となったメールアドレスの48%で侵害の可能性が確認された。攻撃者はMicrosoft 365の正規のログインの流れに割り込み、パスワードとセッションCookieを奪うことで二要素認証（2FA）を迂回し、認証済みセッションを乗っ取っていた。

規模 — 4,532組織、48%で侵害の可能性

ANY.RUNの調査では、Mirage2FAに関連する活動が4,532のユニークな組織ドメインで確認された。国別では米国が63.7%と最も多く、インドやシンガポール、英国、カナダ、サウジアラビア、南アフリカなどにも波及していた。業種では技術、製造、教育が最も狙われていた。

同社の分析は、Cookieやパスワードの窃取、SSO（シングルサインオン）ログイン、2FA迂回の痕跡を含む9,000件超の潜在的な侵害イベントを特定した。標的となったメールアドレスのうち48%で、パスワードやセッションの窃取を通じて侵害された可能性があるとしている。影響は単一アカウントの乗っ取りにとどまらず、SSOで連携するアプリケーションや社内ワークフローへ波及し、封じ込めのコストを押し上げる要因になると指摘されている。

手口 — Microsoft 365のログインに割り込むAiTM

Mirage2FAは、Microsoft 365のアカウントを標的とする中間者（AiTM：Adversary-in-the-Middle）型のフィッシングキットだ。利用者を正規のログイン画面に似せた偽ページへ誘導し、正規の認証フローに割り込むことで、入力されたパスワードだけでなく、認証後に発行されるセッションCookieを窃取する。これにより、2FAが有効でも、攻撃者は盗んだセッションを用いて認証済みのMicrosoft 365セッションやSSO連携サービスへアクセスできる。

ANY.RUNは、Mirage2FAの活動を単発のフィッシングとしてではなく、セッション窃取を伴うアイデンティティ侵害として捉える必要があるとしている。窃取されたセッションは、企業メールや信頼されたビジネスアカウント、機微データへのアクセスに悪用され、なりすましや不正送金、さらなる侵害の足がかりになり得る。

ANY.RUNが示す対策の方向性

ANY.RUNは、Mirage2FAのリスク低減に向けて次のような方向性を示している。いずれも同社が公表した分析で推奨されている内容だ。

• フィッシング耐性のある認証への移行：従来の多要素認証に加え、フィッシングを前提に設計された認証方式や、より強固なセッション管理を導入する。
• 早期検知のための挙動分析：不審な添付ファイルやURLをサンドボックスで分離実行し、リダイレクトやスクリプト、WebSocket通信、偽Microsoft 365ログインページなどの挙動を検知する。
• セッション窃取をアイデンティティ侵害として扱う：パスワードのリセットだけでなく、侵害されたセッションとトークンを失効させ、影響を受けたアイデンティティに関連する活動を調査する。
• インフラ全体の調査：単一のIOC（侵害指標）ではなく、繰り返し現れるローダーやエンコードされたデータ、WebSocket活動、関連インフラを横断してキャンペーンの全体像を把握する。

ANY.RUNはまた、攻撃インフラの変化に合わせて最新の脅威インテリジェンスを取り込み、URLやドメイン、IP、ファイルから関連インフラへ横展開する調査が有効だとしている。

国内組織への示唆

Microsoft 365は日本企業でも広く利用されている。Mirage2FAのように正規のログイン経路を悪用する手口は、利用者側の注意だけでは防ぎきれない。ANY.RUNが指摘するように、セッション窃取を前提とした設計と運用、すなわちフィッシング耐性のある認証とセッション管理、そして侵害後のセッション失効を含む初動手順の整備が求められる。

出典

• ANY.RUN Research「Mirage2FA campaign analysis」（The Hacker Newsのパートナー寄稿として2026年8月25日に公開、https://any.run/ および関連する同社脅威インテリジェンス資料） — 4,532組織ドメイン、標的アドレスの48%で侵害の可能性、9,000件超の侵害イベント、米国63.7%等の数値は同社分析による。