Storm‑2949とは？パスワードリセットを悪用したMicrosoft 365・Azure侵害の全体像

Storm‑2949は、この正規機能をソーシャルエンジニアリングと組み合わせて悪用しました。

典型的な流れは次の通りです。

1. 攻撃者が社内ITサポート担当者を装って社員に連絡
2. 「確認作業」などと説明してMFA通知の承認を依頼
3. 実際には攻撃者がSSPRのパスワードリセットを開始している
4. 被害者がMFA通知を承認

この承認によって攻撃者はパスワードリセットを続行できるようになります。

その後、攻撃者は次の操作を行います。

• アカウントのパスワードを変更
• 既存の認証方法（電話・メール・Authenticatorなど）を削除
• 自分の認証デバイスを登録

結果として、正規ユーザーはログインできなくなり、攻撃者はMFA付きの永続アクセスを獲得します。

Microsoft 365とAzureへの横展開

アカウントを乗っ取ると、攻撃者はその権限を利用してクラウド環境全体へ移動します。

特に被害が大きかったのは、高権限ユーザーのアカウントが侵害されたケースです。

アクセスされた主なサービスには次のようなものがあります。

• SharePoint や OneDrive のファイル
• Azure上の本番アプリケーション環境
• クラウドストレージやデータベース
• Azure Key Vault に保存されたシークレット

つまり、単一アカウントの侵害が組織のクラウド基盤全体のデータ流出につながる可能性を示しました。

この事例は、クラウドセキュリティの重要な原則を示しています。

「クラウドではアイデンティティがコントロールプレーンである」

つまりアカウントを奪われると、多くのサービスを連鎖的に操作できてしまうのです。

MicrosoftがSMS認証を廃止する理由

Storm‑2949のような攻撃が増える中、Microsoftは個人向けMicrosoftアカウントにおいてSMS認証コードの廃止を進めています。

理由はシンプルで、SMSベースの認証は次のような弱点を持つためです。

• SIMスワップ攻撃（電話番号を乗っ取る）
• 通信インフラ上でのメッセージ傍受
• フィッシングによるコードのだまし取り

SMSコードは**遠隔から盗み取ることが可能な「フィッシング可能な認証要素」**とみなされています。

そのためMicrosoftは、より安全な方法として以下を推奨しています。

• パスキー（Passkeys）
• Microsoft Authenticator
• 検証済みの予備メールアドレス

これらはデバイスに紐づいた暗号鍵や安全な認証フローを使うため、フィッシング耐性が高いとされています。

Microsoftが企業に推奨する防御策

Storm‑2949の分析を踏まえ、Microsoftは組織向けにいくつかの対策を推奨しています。

フィッシング耐性のあるMFAを導入

パスキーやハードウェアキーなど、フィッシングで盗まれない認証方式を優先すべきとされています。

最小権限（Least Privilege）の徹底

RBAC（Role‑Based Access Control）により、ユーザーには業務に必要な最低限の権限だけを付与します。これにより1つのアカウント侵害で被害が拡大するのを防げます。

パスワードリセットを高リスク操作として扱う

SSPRなどのアカウント回復プロセスは攻撃経路になり得るため、特に管理者アカウントでは厳格な監視が必要です。

アイデンティティとクラウド操作のログ監視

次のイベントをログ監視することが推奨されています。

• 認証・ログインイベント
• パスワードリセット操作
• Microsoft 365データアクセス
• Azure管理操作

これにより異常な管理アクションを早期に検知できます。

重要な教訓：攻撃対象は「システム」から「アイデンティティ」へ

Storm‑2949が示した最大のポイントは、現代の攻撃がソフトウェアの脆弱性ではなく「アカウント」を狙う方向へ移っていることです。

クラウド時代では、1つの特権アカウントが侵害されるだけで、組織のMicrosoft 365やAzure環境全体へアクセスできる可能性があります。

そのため今後のセキュリティでは次の3つが特に重要になります。

• フィッシング耐性のある認証
• 権限の最小化
• アイデンティティ活動の継続的監視

クラウド環境では、**「アカウントそのものが最も重要な防御ポイント」**になりつつあります。