MFAをすり抜けるフィッシングキット「Knight Office」 — セッション窃取でM365乗っ取り、Huntressが管理画面を特定

米セキュリティ企業のHuntressは2026年9月2日、Microsoft 365（M365）を狙う中間者攻撃（AiTM：Adversary-in-the-Middle）型フィッシングキット「Knight Office」の管理画面を特定したと報告した。発端は同年8月18日に顧客のM365アカウントで検出した不審な認証で、調査をたどると攻撃者自身が使う運用コンソールに行き着いた。Huntressの内部テレメトリでは、直近2週間でこのキットに結び付くトークン再利用ログインが少なくとも9件確認されている。

攻撃の流れ — 正規サービスを踏み台に最終地点を隠す

攻撃はDocuSign（電子署名サービス）を装うメールから始まる。件名は「Reminder: Signature Required - Approval Pending Your Review!!!」などで、From・To・Return-Pathを偽装して受信者自身のアドレスから届いたように見せる自己偽装の手口が使われた。本文の「確認ボタン」を押すと、業務管理ツールMondayの追跡ドメインを経由し、侵害されたJoomlaサイトへ転送される。こうした正規サービスや侵害サイトの中継は、最終的なフィッシングページを評判スキャナーや解析者の目から隠す狙いがあるとHuntressは説明している。

到達先はMicrosoft SharePointやTeamsを装うページで、文書やボイスメールのダウンロードを餌にデバイス認証コードを提示する。利用者が指示通りにコードをコピーして「Sign In With Microsoft」に進めると、本物のMicrosoftのデバイス認証画面が別タブで開き、認証情報の入力とMFAの承認を求められる。利用者がMFAを完了した瞬間、有効なセッショントークンが攻撃者のコンソールに送られる。狙いはパスワードではなく「認証済みの状態」そのもので、多要素認証を破る必要がない点がAiTMの特徴だ。

管理画面の特定 — Flask製コンソールと25超の.vuドメイン

盗まれたトークンの再利用に使われたIPアドレス（104.37.188.94）をHuntressのSOCアナリストが外部脅威情報プラットフォームで調べたところ、Knight Officeの運用コンソールが見つかった。コンソールはPython Flask製のWebアプリで、Cloudflare Turnstileのボット判定を備え、「単一画面での窃取・管理」「Webメールアクセスと自動更新」「カスタムリンク配備」「リアルタイム訪問統計」などの機能をうたう。同一IPのリバースルックアップとVirusTotalの調査では、フィッシングサイト用に.vuドメインが少なくとも25件確認された。

この lure（誘い文句）と同一テンプレートのメールは、Huntressのセキュリティ意識向上トレーニングの報告経路で4月以降少なくとも700件報告されている。件名には「lmportant」「Slgnature」「VERlVIED」のように小文字のLをiの代わりに使う特徴があり、感嘆符の多用も目立つという。

永続化 — 不正端末の登録とWHfBの悪用

Huntressによると、攻撃者は盗んだセッションを使って不正なホストをMicrosoft Entra IDに登録し、攻撃者が管理するデバイス登録を完了させた。さらにWindows Hello for Business（WHfB：パスワードレス認証の仕組み）の鍵資格情報をアカウントに結び付けた。正規利用者向けの強固な認証が、攻撃者の鍵では再侵入の手段に変わる。セッショントークンが失効した後もWHfBのパスワードレス認証で再びサインインに成功したことが確認されている。

認証ログ上はパスワードの失敗試行がゼロで、失敗は期限切れトークンやデバイス鍵の不足に伴うものだけだった。パスワード中心の検知では見逃される攻撃だとHuntressは指摘する。

Huntressが推奨する検出と対処

Huntressは防御側に対し、ログイン失敗や不審なパスワード操作だけを見るのではなく、以下を確認するよう推奨している。

• MFA通過後の認証がコールバックプロキシ（利用者と異なる場所のIP）から行われていないか
• 見慣れないデバイスに結び付くサインインがないか
• Microsoft Entra IDに新規登録されたデバイスやWHfB資格情報に不正なものがないか。不正な認証手段は削除し、オンプレミスのID連携で同期されたアカウントは無効化する

同社はこの攻撃をMITRE ATT&CKのT1566.002（スピアフィッシング・リンク）、T1557（中間者攻撃）、T1528（アプリケーションアクセストークンの窃取）、T1111（多要素認証の傍受）、T1098.005（デバイス登録）などに対応付けている。

日本の組織が留意すべき点 — MFA導入済みでも前提を見直す

M365やGoogle Workspaceは日本企業でも広く使われており、MFAを導入済みでもAiTMでは利用者自身が正規の承認操作を行うため防げない。Huntressが示すように、認証ログでは「MFA成功後の不審な再利用」と「身に覚えのない端末登録」の監視が有効だ。Entra IDのデバイス登録状況の定期点検と、DocuSignなどを装う署名依頼メールの報告体制の整備が重要になる。

出典

• Huntress「Inside Knight Office, a New M365 AiTM Phishing Kit」（2026年9月2日） https://www.huntress.com/blog/inside-knight-office-m365-aitm-attack