Microsoft 365を狙う音声フィッシングPREY-0058が急増 — Arctic WolfがAiTMと住居用プロキシを悪用したクラウド恐喝を警告

Arctic Wolfは2026年9月9日（米国時間）、Microsoft 365と関連するSaaSを狙う大規模なデータ窃取・恐喝キャンペーンについて更新したセキュリティ報告を公開した。同社はこの活動をPREY-0058として追跡している。攻撃者はソフトウェアの脆弱性を突くのではなく、音声フィッシング（Vishing）で役員層を直接騙し、AiTM（Adversary-in-the-Middle、中間者型フィッシング）で多要素認証（MFA）を迂回する。侵入後は数時間以内にメールとファイルを自動窃取し、TOX（匿名メッセージング）経由で金銭を要求する。

Arctic Wolfによると、この手口はGoogleがUNC6671として報告する活動と手口が重なる。同社は顧客環境で複数の段階にわたる検知を有効化し、継続的に監視しているとしている。

PREY-0058とは何か

Arctic WolfはPREY-0058を、IT部門やヘルプデスクを装い電話やSMSで標的を騙す、いわゆるITなりすまし型の音声フィッシング集団として説明している。標的はディレクター、バイスプレジデント、エグゼクティブ、IT担当者など権限を持つ層に集中する点が特徴だ。

同グループはBlackFile、Redact、Pink、Helixの4つの恐喝ブランドを使い分けている。ランサムウェアのようにデータを暗号化・破壊するのではなく、データ窃取のみで恐喝するため、被害組織は復号の必要がないまま情報漏えいと公開の脅威に直面する。

恐喝メールの典型は、TOXの連絡先、72時間の回答期限、データ公開の脅迫、保有データの一部提示を含む。窃取から恐喝までのサイクルが極めて短く、侵入から恐喝までを検知前に完了する事例もあるとArctic Wolfは指摘する。

攻撃の流れ — AiTMと自動窃取

第1段階：音声フィッシングとAiTMでの認証窃取

攻撃者は標的に電話をかけ、「パスキーの登録が必要」「認証方法の変更が必要」といった口実で、標的専用のAiTMフィッシング用サブドメインへ誘導する。Arctic Wolfが確認したドメイン名には、passkey、oskey、passkeydeploy、setpasskey、oskeyconnect、secure-passkeyなどのキーワードが含まれる。

標的が偽のポータルに認証情報を入力すると、AiTMがMicrosoft 365やOkta／Duoのシングルサインオン（SSO）の認証情報とMFAトークンを同時に取得する。Arctic Wolfの観測では、攻撃者はNodeMaven Proxyの住居用プロキシを継続的に使用し、1セッションは1つの住居用IPに固定することで、IPの頻繁な切り替えやレート制限のシグナルを抑えている。

初期の不正サインインは、mysignins[.]microsoft[.]comやmyaccount[.]microsoft[.]comへのアクセスとして現れる。攻撃者はここでアカウント情報を偵察し、場合によっては**パスワードリセットやMFAの新規登録（User started security info registration、User registered security info）**まで実行する。

第2段階：Exchange Onlineのメール収集

攻撃者は**One Outlook Web Client App（AppID: 9199bf20-a13f-4107-85dc-02114787ef48）**を経由してExchange Onlineへ移行する。このアプリ自体の利用は正常だが、本来と異なるAPIパス（API ID: c999ed3e-27ae-4cb3-b3a2-46b056af63d3）でメールを取得する点が異常だとArctic Wolfは説明する。

この段階では、MailItemsAccessedやAttachmentAccessedのイベントが大量に発生する。窃取元はデータセンター／ホスティング基盤と、先の住居用プロキシの双方が確認されている。

第3段階：SharePoint Onlineとクラウドストレージの列挙

続いて、攻撃者はSharePoint Onlineでcontentclass:STS_Siteやcontentclass:STS_Webを用いた広域クエリを実行し、アクセス可能なサイトとサブサイトを洗い出す。SearchQueryPerformedのログが残る。

さらにワイルドカード（*）で全ドキュメントを列挙し、contentindexdocid>*でページングしながら対象を拡大する。

第4段階：大量窃取とTOXによる恐喝

列挙直後に、FileAccessed／FileDownloadedとして大量のファイル取得が始まる。Arctic Wolfによると、当初の侵入ではpython-requestsなどのPythonツール由来のユーザーエージェントが確認され、近年の事例ではChrome/146、Chrome/150、Chrome/151.0.0といったChromeを偽装する文字列へ変化しており、検知回避のための適応とみられる。

取得したデータをもとに、被害企業の経営層へTOX経由の恐喝メールが送られる。メールは72時間の回答期限、公開予告、データ保有の証明提示を含む。

住居用プロキシと検知回避の工夫

Arctic Wolfは、NodeMaven Proxyのような住居用プロキシ基盤の一貫した利用を、PREY-0058の特徴的なインフラとして挙げる。住居用IPは一般家庭や小規模ネットワークに割り当てられる正規のアドレスに見えるため、企業ネットワークの通常のサインインと区別しにくい。

攻撃者はセッションごとに固定の住居用IPを使い続けることで、短時間に多数のIPを切り替える不審な挙動を避けている。Arctic Wolfは、従来のIPレピュテーションや地理的異常だけでは検知が難しく、プロキシインテリジェンス（例：Spurなど）を統合した条件付きアクセスでのブロックが有効だとしている。

Arctic Wolfが推奨する対策

報告の中でArctic Wolfが実際に推奨している対策は次のとおりだ。同社は推奨事項を出典明示で示しており、以下はその要約である。

• 音声フィッシング教育を役員層と高リスク群に重点実施する — Arctic Wolfは、ディレクター以上の層が狙われる傾向を踏まえ、同社のManaged Security Awarenessトレーニングを推奨している。加えて、社内のITやヘルプデスクがパスキー登録などを求めて突然電話やSMSをすることはない旨を周知し、不審な連絡は独立した正規の経路で確認し、報告経路を整備するよう呼びかけている。
• 耐フィッシングMFAへ移行する — 高リスクおよびエグゼクティブのアカウントは、FIDO2ハードウェアセキュリティキーや証明書ベース認証へ切り替えることで、AiTMを介したフィッシングのリスクを排除できるとしている。
• 管理された信頼できるデバイスからのアクセスに限定する — 条件付きアクセスで、準拠済み・登録済み・ハイブリッド参加済みなど管理された企業デバイスからのサインインのみを許可するポリシーを適用する。
• 住居用・匿名化プロキシからのトラフィックをブロックする — IDプロバイダーでSpurのようなプロキシインテリジェンスを統合し、NodeMavenなどの既知の住居用・コールバック型プロキシからのサインインを拒否する。
• SharePointの最小権限RBACを徹底する — サイト、ライブラリ、フォルダーの権限を厳格なロールベースアクセス制御（RBAC）で制限し、1アカウントの侵害時の被害範囲を抑える。
• Microsoft PurviewのDLPしきい値を設定する — 単一ユーザーセッション内での大量ファイルダウンロードを制限・警告・ブロックするデータ損失防止（DLP）ルールを構成する。

Arctic Wolfはまた、同社のManaged Detection and Response（MDR）で、不審なIDの挙動、クラウド偵察、大量データアクセスと窃取などの段階で検知を実装しているとしている。

日本企業への示唆

日本でもMicrosoft 365やOkta、Duoを利用する企業は多く、電話でITを装いパスキー登録を促す手口は言語を問わず成立し得る。特に権限を持つ役員や管理者が標的として狙われるため、「IT部門が突然パスキー登録を求めることはない」という原則の周知と、独立した経路での確認手順を整えることが重要だ。

また、住居用プロキシ経由のサインインは、従来の「海外IPからのログイン」という単純な検知では捕捉できない。Arctic Wolfが推奨するように、デバイス準拠を条件とするアクセス制御と、プロキシインテリジェンスを組み合わせたポリシーの導入が、被害拡大を抑える現実的な手段となる。

出典

• Arctic Wolf「Security Bulletin: Active Cloud Data Theft and Extortion Campaign Targeting Microsoft 365 and SaaS Platforms」（公開：2026年9月3日、更新：2026年9月9日） https://arcticwolf.com/resources/blog/security-bulletin-active-cloud-data-theft-and-extortion-campaign-targeting-microsoft-365-and-saas-platforms/