Microsoft 365に対する認証済みセッションを乗っ取るターンキー型キットの登場は、静かながらも決定的な転換点を示している。長らくアカウントセキュリティのゴールとして販売されてきた多要素認証は、今や単なる速度抑制装置と化した。Adversary-in-the-middle型ツールはログインフローをリアルタイムでプロキシし、ユーザーがMFAを完了した後にセッションクッキーを捕捉する。窃取されるのはパスワードではなく、トークンこそが標的なのだ。

ここでの戦略的な論点は産業化にある。Phishing-as-a-serviceはサブスクリプション価格、テンプレート化、回避機能を備えた商業的サプライチェーンへと成熟し、攻撃対象となるソフトウェアのSaaS経済モデルを模倣している。これにより技術障壁が崩壊した。能力の低い攻撃者でも、かつては国家レベルの技術を要した攻撃キャンペーンを実行できるようになった。CISOにとって、脅威モデルは「認証情報の窃取を防ぐ」から「セッション侵害を前提とする」へと逆転する。これはレガシー型の対策では遥かに防御が困難な姿勢である。

被害範囲は集中している。Microsoft 365は世界の大企業の大部分においてアイデンティティの中核に位置するため、単一の効果的なキットが業界や地域を超えて同時にスケールする。保険会社は認証衛生に関する引受審査の質問を鋭くし、EUの規制当局(NIS2)やその他の地域では、重要事業者に対してSMS/OTPベースのMFAを次第に不十分とみなすことが予想される。

防御可能な解決策はすでに存在するが、十分に展開されていない。それはフィッシング耐性認証である。FIDO2パスキーやハードウェアセキュリティキーは認証情報を正規ドメインに紐付け、プロキシベースの傍受を完全に遮断する。恩恵を受ける立場にあるベンダーにはYubico、Okta、そしてMicrosoft自身のEntra ID条件付きアクセススタックが含まれる。アプリベースのプッシュ通知やOTPに固執する遅れた企業は不均衡なリスクを抱えることになる。

グローバルリーダーシップへの推奨アクションは以下の通りだ。特権アカウントと財務担当者に対して2四半期以内にフィッシング耐性MFAを義務化する、トークンバインディングと短いセッション有効期間を強制する、継続的アクセス評価を展開して窃取されたセッションをほぼリアルタイムで無効化する、そして静的なフィッシングテストではなくadversary-in-the-middleシミュレーションを実施する。取締役会はアイデンティティレジリエンスをIT予算項目ではなく資本配分の問題として扱うべきである。幹部セッションの乗っ取りコストは、今や完全な侵害のコストに匹敵するのだから。