# MFAの後のログイン状態が、メール侵入に使われる

Canonical: https://security.qutori.jp/analysis/huntress-m365-token-replay-oct2026.html
Language: ja
編集・日本語要約: バグマゲドン対策委員会
本ページ内容更新日: 2026-10-26

盗まれたログイン状態を再利用し、Microsoft 365へ侵入。MFAを有効にした後も、端末やメール設定の確認が必要になる。

日本語要約・編集：バグマゲドン対策委員会。本記事公開：2026-10-26 / 本記事更新：2026-10-26 / 原文確認：2026-10-26。

原文発行：Huntress / 原文の分析者・著者：Andrea Hatcher / Susannah Matt / Matt Poto / Andrew Schwartz / 原文公表：2026-10-22。

観測期間・対象時点：2026年7月14日〜9月22日

報告の対象範囲：Huntressが対応・観測したMicrosoft 365利用組織

## 観測・報告されたこと

Huntressは79組織で497回の成功したサインインを観測。不正な端末登録やMFA設定の書き換え、メールを隠す受信ルールも確認した。

- 同社は少なくとも48台の不正なEntra登録端末を確認。

## 分析者の見解

同社は、失敗したログインの多さだけで優先度を決めず、有効な認証情報の悪用と侵入後の設定変更を調べるよう勧める。

## 自社で確認すること

Microsoft 365の管理担当に、見覚えのない端末・MFA方法・受信ルールがないか確認を依頼。侵害が疑われる場合はセッション失効と不正登録の除去も行う。

原文の対策に基づく編集部の確認案

## 読み取るときの注意点

- 原文公表は10月22日、観測は7〜9月。件数は同社の観測範囲で、全世界の被害数ではない。端末名の似方だけで不正と判断しない。

## 原文

- [Huntress — M365 Token Spray and Replay Campaign Compromises Business Email Accounts](https://www.huntress.com/blog/token-replay-spray)

一次資料の要点を独自の日本語で再編集。全文翻訳・直接引用ではない。「自社で確認」は編集部による一般的な確認案。分析者の見解と確認された事実を分ける。地域は主な発信地域で、攻撃元を示さない。

- [ニュース・海外分析一覧](https://security.qutori.jp/news.html)
- [出典・編集方針](https://security.qutori.jp/about.html)