【急報】ホテルWi-Fiに繋いだだけで危険？Microsoft 365ユーザーを狙う「偽ログイン画面」攻撃に要注意
【急報】ホテルWi-Fiに繋いだだけで危険？Microsoft 365ユーザーを狙う「偽ログイン画面」攻撃に要注意
出張先のホテルや会議場でスマホやノートPCを公衆Wi-Fiに接続するのは、ビジネスパーソンの日常的な光景だ。しかし、そうした場所こそが攻撃者の「狩場」になりつつある。Microsoft 365の利用者を狙った巧妙な攻撃が確認されており、セキュリティ各所から警告が発せられている。パスワードを盗むどころか、ユーザー自身に偽の「システム更新」を実行させる手口まで確認されているという。いったいどんな手法で、どう身を守ればいいのかを解説する。
「入り口」を乗っ取られたら、正規サイトでも危険
今回確認された攻撃の特徴は、接続した瞬間に悪質な仕掛けが始まる点にある。攻撃者はホテルや会議場の公衆Wi-Fiの「入り口」であるキャプティブポータル（接続時に表示される認証・同意画面）を乗っ取り、正規のWebサイトへ向かう通信を偽サイトへ誘導する。ユーザーがいつも通り正規のMicrosoft 365にログインしたつもりでも、実際には攻撃者が用意した偽ページに誘導されている可能性があるという。
さらに悪質なのが、｢クラウド攻撃（クリックフィックス）｣と呼ぶ手法だ。接続後に偽のブラウザ更新やドライバー修復を実行するよう画面で促し、ユーザー自身の手で認証情報を抜き取ったり、マルウェアを配布したりする事例まで観測されている。「警告画面が出たら更新を促される」というのは、出張先の忙しい時間帯にこそ引っかかりやすい心理的な盲点を突いた手口と言える。
大事なのは「Microsoft 365自体のバグ」ではないこと
今回の攻撃は、Microsoft 365に新たな脆弱性が発見されたわけではない。あくまで旅行者が利用するネットワークと、ログイン時の認証操作の隙間を突いた攻撃だ。認証や通信を暗号化する仕組み自体は正常な一方で、通信の「行き先」がすり替えられる点が厄介で、単にHTTPS接続であれば安全と思い込んでいるユーザーほど騙されやすい。接続先のアドレスが本物かどうかを確認する習慣がなければ、正規のサービスを使っているつもりでも被害に遭いかねない。
実際の被害を招く「3つのポイント」
観測された攻撃の流れを整理すると、まず公衆Wi-Fi接続時に偽のブラウザ更新要求を表示させられる。次に、その画面に従って更新を実行すると、認証情報が抜かれるか、不正なドライバー修復ツール等が仕込まれる。さらに、MFA（多要素認証）が設定されていても、デバイスコードを承認させられる経路で突破されるケースも報告されている。つまり「パスワードだけでなく、二段階認証を設定していれば絶対安心」とは言い切れないのが現状だ。
出張者は特に要注意、会社側の対策も重要
こうした攻撃の温床となるのは、ホテルや会議場だけではない。空港の搭乗待合エリアなど、同じ構造の公衆Wi-Fiは街中に溢れている。特に出張中は会社を開く作業が増え、ログイン操作の頻度が上がるため、ビジネスパーソンは恰好の標的になる。個人の意識だけでなく、会社側で常時接続するフルトンネルVPNを強制するなど、組織としてのガバナンスが求められる局面だ。
身を守るための具体的な対策
では、私たちはどう対策すればいいのか。まず大原則として、組織端末では常時接続のフルトンネルVPNを利用すること。スプリットトンネル方式だとDNSクエリが外部へ漏れる可能性があり、接続前からVPNが機能していることが重要だ。次に、スマホのテザリングを優先的に使うこと。公衆Wi-Fiに頼らず、モバイル回線越しに通信すれば入り口の乗っ取り自体を回避できる。そして、ログインする際には必ずブラウザのアドレスバーで接続先が正規のものかを確認する習慣を身につけたい。偽のドライバー修復やブラウザ更新を求められても、安易に閉じて不審な処理は実行しないのが基本だ。
ネットの反応
正規サイトを開いたつもりで飛ばされるの怖すぎる。ホテルWi-Fiに繋いだだけで入り口に立つのかよ。
フィッシングメールすら踏ませなくていいの強すぎるだろ。接続した瞬間スタートってやばいな。
｢鍵マーク（南京錠マーク）｣だけ見て安心してたわ。通信の暗号化と行き先のすり替えは別問題なんだな。
8.8.8.8にDNS設定してても平常時なら横取りされるのか。公衆Wi-Fiはまた警戒時代に逆戻りか。
VPNは入れてるだけじゃなくて、接続前から起動してないと意味ないんだな。スプリットトンネルだとDNSが外に出る可能性があるの知らなかった。
テザリングの通信量よりアカウント被害の方がよほど高くつくわ。出張中はケータイ回線でやるのが安全。
偽のドライバー修復が出たら即閉じるわ。パワーシェルを貼り付けさせる時点でアウトだろ。
自分で操作させるクリックフィックス系は防御が厄介。警告画面で更新をせかすの、旅行中の審議に刺さるやつだ。
Microsoft 365のバグじゃないのは大事な線引き。セキュリティソフト入れてるだけじゃ防げないってことか。
ゲートウェイ1台で複数人まとめて狙えるのか。空港や会議場も同じ構造ならホテルだけの話じゃないな。
AIの所感
今回の攻撃の本質は、技術の脆弱性ではなく「出張中の心理状態」と「接続環境の信用」を突いている点にある。忙しい出張先で、ログインのたびにアドレスバーを確認したり、警告画面を疑ったりするのは現実的ではない。だからこそ、個人の注意力に頼るのではなく、フルトンネルVPNの常時接続やテザリング優先など「環境レベルでの対策」を当たり前にする必要がある。二段階認証があってもデバイスコード承認経路で抜かれる可能性が指摘されており、多層防御の重要性を改めて突きつける内容だ。特に企業は、出張者向けのセキュリティガイドを「知らなかった」では済まない時代に入ったと言える。安全は、技術ではなく習慣が握っている。