出張先のホテルWi-Fiが、Microsoft 365の認証情報を狙う新たなサイバー攻撃の温床となっている。今回確認された攻撃では、DNSポイズニングとMicrosoftの正規機能「デバイスコードフロー」を悪用することで、認証情報を窃取し、多要素認証（MFA）さえ突破されるケースが報告された。フィッシングメールや不正な添付ファイルを開かなくても、ホテルのWi-Fiに接続して通常どおりログインするだけで被害に遭う可能性がある点が大きな特徴だ。
本記事では、攻撃の仕組みや被害の実態、VPNや暗号化DNSでも防ぎきれない理由を解説するとともに、企業のIT管理者や出張者が今すぐ実践すべき対策、さらにFIDO2・パスキーやPUF/PCAなど次世代認証技術の重要性まで詳しく解説する。
この記事の読者は、出張先でどのように接続しているだろうか・・・
何が起きたのか｜出張者を狙う新手のサイバー攻撃
フィッシングメール不要、ホテルの回線に繋ぐだけで被害に
今回確認された攻撃は、米国、インド、サウジアラビアなどで出張者を標的にしたものだ。ZAIKEIの報道によれば、被害者は金融、専門サービス、法務、ヘルスケア、エネルギー、小売と業種を問わず広がっており、特定業界を狙ったものではなく「出張という行動そのもの」が標的にされている点が特徴だ。攻撃者はホテルや会議施設のWi-Fiゲートウェイ（キャプティブポータル）を乗っ取り、接続した全ゲストの通信を書き換えることで、個々のパソコンやスマートフォンに触れることなく被害を広げていた。
MFAも簡単にすり抜けられる恐怖の手口
さらに深刻なのは、被害者がパスワードを一切盗まれていないケースでもアカウントが乗っ取られていたことだ。攻撃者はMicrosoftが正規に提供する「デバイスコードフロー」という認証の仕組みを悪用し、被害者本人に気づかれないまま有効なOAuthトークンを取得していた。BleepingComputerも、承認ボタンを押した瞬間に攻撃者が開始したセッションが認可されてしまう仕組みを指摘している。MFAが破られたのではなく、正しく機能した結果が被害者に不利に使われた、という点がこの攻撃の恐ろしさだ。
攻撃の仕組みを徹底解説｜なぜこんなに巧妙なのか
DNSポイズニングの正体
ホテルのWi-Fiゲートウェイは、接続した全ユーザーのDNS解決（サイト名を実際のアドレスに変換する処理）を担っている。この1台さえ乗っ取れば、攻撃者はそのネットワークに繋いだ全員の通信を思うがままに誘導できる。出張者のデバイスが「Microsoftのログインページはどこか」と問い合わせると、乗っ取られたゲートウェイは攻撃者のサーバーのアドレスを返す。表示される画面はMicrosoftそのものに見えるため、疑う余地はほとんどない。攻撃者は少なくとも4つの偽ドメインを用意し、この手口で認証情報を集めていたという。
正規機能「デバイスコードフロー」の悪用
デバイスコードフローは本来、テレビや会議室のディスプレイなどキーボードを持たない機器のために用意された正規の認証方式だ。被害者は本物の「microsoft.com/devicelogin」ページに誘導され、コードを入力するよう求められる。しかし、そのコードは被害者自身の端末ではなく、攻撃者の端末が生成したものであり、被害者が入力した瞬間、有効なOAuthトークンは攻撃者側に発行されてしまう。Microsoftや独立系の研究者は2021年頃からこの経路のリスクを指摘しており、不要なユーザーに対してはブロックするよう推奨してきた。それでも実際の攻撃に悪用される事例が続いている。
WPADを使った第2の攻撃レイヤー
観測されたケースの約3分の1では、Windowsの「Web Proxy Auto-Discovery（WPAD）」という機能を悪用した通信の傍受も試みられていた。WPADはWindowsで既定で有効になっており、通信をどのプロキシ経由でルーティングするかを自動取得する仕組みだ。乗っ取られたゲートウェイはこれに悪意のある設定を返すことで、ブラウザの通信を攻撃者管理下のプロキシへ横流ししようとする。実際に傍受が成功したかまでは確認されていないというが、攻撃対象領域がもう一段広いことを示す事実として無視できない。
国家支援型ハッカーとの類似点｜APT28「FrostArmada」の影
ReliaQuestは今回のキャンペーンを、2026年4月にFBIなどによって阻止されたロシアのGRU（軍参謀本部情報総局）系ハッカー集団APT28（通称Fancy Bear、Forest Blizzard）の「FrostArmada」作戦と比較している。FrostArmadaは120カ国、約1万8000台の家庭向けルーターを侵害し、DNSハイジャックでMicrosoft 365の認証情報を奪う大規模作戦だった。今回のキャンペーンはインフラやドメインが異なり、現時点でAPT28本体との断定はできないとされるが、ゲートウェイレベルのDNSポイズニングという手口の共通点は多い。国家レベルの手法が、より小規模な攻撃者にも広がりつつある構図が浮かび上がる。
一般的なVPNでも守れない？見落とされがちな落とし穴
「VPNさえ繋いでいれば安心」と考えている人は少なくないはずだ。だが実際には、一部の通信だけを企業ネットワークの外に逃がす「スプリットトンネル」構成のVPNでは、この攻撃を防ぎきれない。DNSリクエストを含む全トラフィックを企業側の経路に通す「フルトンネルVPN」でなければ意味がないという。さらに厄介なのは、GoogleのパブリックDNS（8.8.8.8）を使っていても安全とは限らない点だ。DNSリクエストは暗号化されずに送信されるため、Googleのサーバーに届く前にホテル側のゲートウェイに読み取られ、偽装されてしまう。多くの企業端末が採用する「日和見モード」の暗号化DNSも、通信が失敗すれば平文にフォールバックしてしまうため、実質的に無防備なのだ。
【視点】またしても暴かれたセキュリティの限界｜物理認証システムが必要な時代へ
パスワード、MFA、VPN、暗号化DNS——企業が積み重ねてきた対策の一つひとつが、出張先のホテルという「日常」の一点を突かれただけで無力化される。
これは決して大げさな話ではない。今回のキャンペーンが示したのは、ソフトウェアだけで完結する認証には構造的な限界があるという事実だ。IDとパスワードはおろか、正規のOAuth認証プロセスそのものが「本人になりすまさせる」経路として悪用されてしまう以上、なりすましようのない要素、つまり生体情報や物理デバイスに基づくハードウェア認証を組み込む方向へ、企業のセキュリティ戦略はいよいよ本気で舵を切るべき時期に来ているのではないか。
こうした構造的な脆弱性への根本的な回答として近年注目されているのが、PUF（物理複製困難関数）やPCA（Physical Chip Authentication）のような、チップ固有の物理的特性そのものを鍵にする認証技術だ。ソフトウェア上の鍵やパスワード、トークンはネットワーク越しに盗まれたり複製されたりする宿命を背負っているが、PUF/PCAはチップ製造時に生じる物理的なばらつきを鍵の根拠にするため、原理的に複製が極めて困難になる。以前取り上げたFortiBleed事件がパスワード認証の限界を露呈させたのと同様に、今回のホテルWi-Fi攻撃もまた、認証の主体を「知識（パスワード）」や「所持の証明（OAuthトークン）」から、「複製不可能な物理的実体」へと移していく必要性を裏付ける材料になっている。
FIDO2やパスキーのような物理キー・生体認証を軸にした認証基盤への移行は、もはや「先進的な取り組み」ではなく、出張という当たり前の行動を守るための必須インフラになりつつある。
今すぐできる対策｜IT管理者と出張者が取るべき行動
企業側の対策
- 全社デバイスに常時接続のフルトンネルVPNを強制し、スプリットトンネル設定を洗い出して排除する
- グループポリシーでWPADを無効化する
- Microsoft Entra IDの条件付きアクセスポリシーで、業務上不要なデバイスコードフローをブロックする
- 平文へのフォールバックを許さない「厳格モード」の暗号化DNS（DoH/DoT）を導入する
- 中長期的にはFIDO2/パスキーやPUF/PCAを活用した物理・生体認証基盤の導入を検討する
個人（出張者）の対策
- ホテルや空港、会議施設のWi-Fiでは、ログイン前に必ずURLと証明書を確認する
- Microsoftの正規ドメインとわずかでも違う表示があれば、その場で接続を切りセルラー回線に切り替える
- 会社支給のVPNアプリが「常時接続」設定になっているか、出張前に必ず確認する
まとめ
今回の攻撃キャンペーンは、フィッシングメールも不正な添付ファイルも使わず、出張者がホテルのWi-Fiに繋ぐという日常の行為だけを突破口にしていた。MFAという「最後の砦」ですら、正規の認証フローを逆手に取られる形で突破されている。VPNやDNS暗号化といった従来の対策にも見落としがちな抜け穴があることが今回の一件で改めて浮き彫りになった。ソフトウェアだけに頼った認証の限界が繰り返し露呈するいま、PUF/PCAのような複製不可能な物理的鍵を軸にした次世代の認証基盤への移行は、企業にとって避けて通れない検討課題になりつつある。
参考記事
- 出張者が標的に：ホテルWi-Fi経由でMicrosoft 365認証情報を窃取、MFAもすり抜け（ZAIKEI）
- DNS Poisoning Tactics Expand to Hospitality Wi-Fi（ReliaQuest公式ブログ）
- Hackers hijack hotel Wi-Fi DNS to steal Microsoft 365 accounts（BleepingComputer）
- Hotel Wi-Fi Gateways Weaponized to Steal Microsoft 365 Logins: MFA Bypassed（Tech Times）
- Hackers Hijack Hotel Wi-Fi to Steal Microsoft 365 Credentials（Security Affairs）
関連記事（サイバーセキュリティカテゴリー）
- Fortinet・Palo Alto・Ciscoで重大脆弱性が相次ぐ｜2026年7月版セキュリティ速報と緊急対策
- FortiBleedとは何か｜世界194か国・7万4000台のFortiGateで認証情報流出
- FortiBleedが暴いたセキュリティ認証の限界｜FortiGate情報流出とPUF/PCAが示すAI時代の方向性
- FortiBleedはパスワード認証の終焉を示した｜SSL/TLS・PUF・PCAで読み解くAI時代の認証技術
- What Is FortiBleed? — 74,000 FortiGate Devices Across 194 Countries Hit by Credential Leak（English）
コメント