FBIが「OAuth同意フィッシング」で緊急警鐘 — パスワード変更では止まらない持続的アクセス、著名人と家族を標的

FBIとインターネット犯罪苦情センター（IC3）は2026年9月1日、OAuthの認可フローを悪用する「OAuth同意フィッシング（consent phishing）」の手口について注意喚起（Alert Number: I-090126-PSA）を公表した。FBIによると、攻撃者は2025年後半から著名人、その家族や個人的な知人を標的に、商用メッセージアプリケーション（CMA）上で直接メッセージを送り、正規のクラウドサービスへのアクセス許可をだまし取っている。FBIはこの手口がパスワードを必要とせず、多要素認証（MFA）を迂回して持続的なアクセスを得られる点を「特に危険」と指摘している。

著名人と家族を狙い、政府関係者やメディアをかたる

FBIによると、最近確認された活動では、攻撃者が政府関係者、メディア関係者、その他公的に知られた人物になりすまし、商用メッセージアプリ上で標的に接触した。攻撃者は「記事や文書のドラフトを確認してほしい」「ファイル共有サービス上のファイルにアクセスしてほしい」といった名目で、攻撃者が管理するアプリケーションへの悪性リンクへのアクセスを促す。

FBIは、これ以前のフィッシングキャンペーンでも、攻撃者がイベントのコーディネーターやプランナーになりすまし、「イベントへの招待」や「本人確認が必要」といった口実で悪性リンクを送っていたことを明らかにした。いずれも、標的がリンクをクリックすると正規の通信プロバイダーの権限付与画面にリダイレクトされる点が共通している。

FBIは標的の人数や被害規模の詳細を公表していないが、攻撃は2025年後半から継続して追跡されている継続的な脅威であると説明している。

パスワード不要で持続、MFAも迂回する仕組み

OAuthは、ウェブサイトやウェブアプリケーションが、ユーザーのログイン資格情報を直接預かることなく、別のアプリケーション上のアカウントへのアクセスを要求できるようにする認可の枠組みである。ユーザーが認可を承認すると、アプリケーションはトークンを用いて代理で動作できるようになる。

FBIは、OAuth同意フィッシングの危険性について次のように説明している。ユーザーがフィッシングメールやCMA上のダイレクトメッセージに含まれた悪性リンクをクリックし、正規の権限要求画面で「許可」を承認すると、攻撃者が管理する悪性アプリケーションに高権限のアクセスが付与される。攻撃者はその瞬間からユーザーの代理として、メールの読み取りや送信、ファイルへのアクセスなど、付与された権限の範囲で機密データにアクセスできる。

FBIは特に「一度権限が付与されると、パスワードを変更しても遮断できない」点を強調した。持続的なアクセスを断つには、被害者自身がアプリケーションのセキュリティ設定でトークンを無効化する必要がある。攻撃者は正規の認可プロトコルを通じて悪性アプリケーションを登録し、ソーシャルエンジニアリングを組み合わせることで、パスワードと多要素認証の両方を迂回できるとFBIは指摘している。

FBIが推奨する対策と通報

FBIは、今回の注意喚起の中で、被害を防ぐための基本的な対策を次のとおり呼びかけている。

• 見慣れない電話番号やアカウント、連絡先リストにない相手からの連絡は慎重に精査する
• 送信者の身元を独立した手段で確認する
• 信頼できるアプリケーションにのみ認可を与える

FBIは被害に遭った可能性がある場合、関係するセキュリティ担当者へ連絡するとともに、最寄りのFBI現地事務所またはIC3（http://www.ic3.gov）へ報告し、やり取りの内容やスクリーンショットを保持するよう求めている。

FBIは、本注意喚起が情報提供を目的としたものであり、特定の商用製品やサービスを推奨するものではないと付記している。

日本の組織が注意すべき点

OAuthはMicrosoft 365やGoogle Workspaceなど、日本企業でも広く利用されるクラウドサービスで標準的に使われている。攻撃者が正規の認可画面を経由するため、従来のパスワード窃取型フィッシングと異なり、不審なログインアラートが出にくい。FBIが指摘するように、被害後にパスワードをリセットしてもトークンは残存するため、アプリのアクセス権限の棚卸しと不要なサードパーティアプリの取り消しが不可欠である。管理者はテナント側で「ユーザーが同意できるアプリの制限」「管理者の同意が必要な権限の定義」など、OAuth同意のガバナンスを点検することが求められる。

出典

• IC3 PSA I-090126: Malicious Cyber Actors Gain Access to Victim Accounts Through Consent Phishing (2026-09-01)