Storm‑2949とは？パスワードリセットを悪用したMicrosoft 365・Azure侵害の全体像

近年のクラウド攻撃は、マルウェアよりも**「アイデンティティ（アカウント）」そのものを狙う傾向が強まっています。Microsoftが公開した分析によれば、攻撃グループStorm‑2949**はこの流れを象徴する存在で、1つのアカウント侵害を起点にMicrosoft 365とAzureのクラウド環境全体へ侵入し、大量のデータを盗み出しました。

特徴的なのは、ソフトウェアの脆弱性やマルウェアではなく、パスワードリセットの仕組みや正規のクラウド管理機能を悪用した点です。

---

攻撃の出発点：アカウント（アイデンティティ）の乗っ取り

Microsoft Threat Intelligenceによると、Storm‑2949の目的は組織の「価値の高いクラウド資産」からできる限り多くの機密データを持ち出すことでした。

この攻撃では、以下の特徴が確認されています。

• マルウェアではなく正規のクラウド機能を悪用
• 権限の高いユーザー（IT管理者や経営層）を重点的に標的化
• Microsoft 365やAzureの管理操作を使ってアクセス範囲を拡大

つまり、攻撃者は「侵入」よりも既存の権限と仕組みを乗っ取ることに重点を置いていました。

---

SSPR（自己サービスパスワードリセット）の悪用

攻撃チェーンの重要なポイントは、Microsoft Entraの**Self‑Service Password Reset（SSPR）**でした。これはユーザー自身がITサポートに頼らずパスワードをリセットできる仕組みです。

Storm‑2949は、この正規機能をソーシャルエンジニアリングと組み合わせて悪用しました。

典型的な流れは次の通りです。

1. 攻撃者が社内ITサポート担当者を装って社員に連絡
2. 「確認作業」などと説明してMFA通知の承認を依頼
3. 実際には攻撃者がSSPRのパスワードリセットを開始している
4. 被害者がMFA通知を承認

この承認によって攻撃者はパスワードリセットを続行できるようになります。

その後、攻撃者は次の操作を行います。

• アカウントのパスワードを変更
• 既存の認証方法（電話・メール・Authenticatorなど）を削除
• 自分の認証デバイスを登録

結果として、正規ユーザーはログインできなくなり、攻撃者はMFA付きの永続アクセスを獲得します。

---

Microsoft 365とAzureへの横展開

アカウントを乗っ取ると、攻撃者はその権限を利用してクラウド環境全体へ移動します。

特に被害が大きかったのは、高権限ユーザーのアカウントが侵害されたケースです。

アクセスされた主なサービスには次のようなものがあります。

• SharePoint や OneDrive のファイル
• Azure上の本番アプリケーション環境
• クラウドストレージやデータベース
• Azure Key Vault に保存されたシークレット

つまり、単一アカウントの侵害が組織のクラウド基盤全体のデータ流出につながる可能性を示しました。

この事例は、クラウドセキュリティの重要な原則を示しています。

「クラウドではアイデンティティがコントロールプレーンである」

つまりアカウントを奪われると、多くのサービスを連鎖的に操作できてしまうのです。

---

MicrosoftがSMS認証を廃止する理由

Storm‑2949のような攻撃が増える中、Microsoftは個人向けMicrosoftアカウントにおいてSMS認証コードの廃止を進めています。

理由はシンプルで、SMSベースの認証は次のような弱点を持つためです。

• SIMスワップ攻撃（電話番号を乗っ取る）
• 通信インフラ上でのメッセージ傍受
• フィッシングによるコードのだまし取り

SMSコードは**遠隔から盗み取ることが可能な「フィッシング可能な認証要素」**とみなされています。

そのためMicrosoftは、より安全な方法として以下を推奨しています。

• パスキー（Passkeys）
• Microsoft Authenticator
• 検証済みの予備メールアドレス

これらはデバイスに紐づいた暗号鍵や安全な認証フローを使うため、フィッシング耐性が高いとされています。

---

Microsoftが企業に推奨する防御策

Storm‑2949の分析を踏まえ、Microsoftは組織向けにいくつかの対策を推奨しています。

フィッシング耐性のあるMFAを導入

パスキーやハードウェアキーなど、フィッシングで盗まれない認証方式を優先すべきとされています。

最小権限（Least Privilege）の徹底

RBAC（Role‑Based Access Control）により、ユーザーには業務に必要な最低限の権限だけを付与します。これにより1つのアカウント侵害で被害が拡大するのを防げます。

パスワードリセットを高リスク操作として扱う

SSPRなどのアカウント回復プロセスは攻撃経路になり得るため、特に管理者アカウントでは厳格な監視が必要です。

アイデンティティとクラウド操作のログ監視

次のイベントをログ監視することが推奨されています。

• 認証・ログインイベント
• パスワードリセット操作
• Microsoft 365データアクセス
• Azure管理操作

これにより異常な管理アクションを早期に検知できます。

---

重要な教訓：攻撃対象は「システム」から「アイデンティティ」へ

Storm‑2949が示した最大のポイントは、現代の攻撃がソフトウェアの脆弱性ではなく「アカウント」を狙う方向へ移っていることです。

クラウド時代では、1つの特権アカウントが侵害されるだけで、組織のMicrosoft 365やAzure環境全体へアクセスできる可能性があります。

そのため今後のセキュリティでは次の3つが特に重要になります。

• フィッシング耐性のある認証
• 権限の最小化
• アイデンティティ活動の継続的監視

クラウド環境では、**「アカウントそのものが最も重要な防御ポイント」**になりつつあります。