はじめに
2026 年に入り、デバイスコードフィッシング（Device Code Phishing）は「一部の高度な標的型攻撃」から「日常的に大量展開される攻撃」へと様変わりしました。背景にあるのは、EvilTokens をはじめとする PhaaS（Phishing-as-a-Service）の台頭と、AI による攻撃の自動化です。Microsoft 自身も 2026 年 4 月、AI を悪用したデバイスコードフィッシングの大規模キャンペーンに関するアドバイザリを公開しています。
この攻撃は、OAuth のデバイス認証フローを悪用して ユーザー自身に正規の Microsoft 画面で認証させ、発行されたトークンを奪うものです。MFA（多要素認証）を突破でき、しかも パスワードをリセットしてもアクセスが維持されるという非常に厄介な特性を持っています。
これまで国内企業を狙った大規模事例は表立っていませんが、決して対岸の火事ではありません。攻撃キットが Telegram 上で PhaaS として流通し始めたことで、日本でも広く使われている Microsoft 365 環境へ波及する可能性は高いと考えます。
本記事では、この攻撃の技術的メカニズムと、PhaaS・AI による大規模化の実態、検知回避の手口を整理したうえで、日本のインフラエンジニアが直ちに実践すべき Entra ID（旧 Azure AD）環境での防御策とインシデント対応を解説します。なお本記事は、M365 / Entra ID セキュリティ全体を多層防御として整理した記事の一部（スポーク）にあたります。全体像は以下の記事で俯瞰できます。
- デバイスコードフィッシングの攻撃メカニズムと、MFA を突破できる理由
- EvilTokens など PhaaS・AI による大規模化と検知回避の手口
- Entra ID の条件付きアクセスによるデバイスコードフロー遮断の設定
- サインインログからの異常検知と、トークン無効化を含むインシデント対応
デバイスコードフィッシングとは（攻撃メカニズム）
OAuth デバイス認証フローの悪用とトークン奪取
デバイスコードフローは本来、スマート TV や IoT 機器のように ブラウザやキーボード入力を持たないデバイス向けの認証方式です。別の端末でコードを入力して認証を完了させる、標準的かつ便利な仕組みで、多くの Entra ID テナントで既定で有効になっています。
攻撃はこの仕組みを逆手に取ります。流れは次のとおりです。
- 攻撃者が Entra ID などの ID プロバイダーに対してデバイスコードを要求する。
- 攻撃者が、生成したコードを記載した巧妙なフィッシングメールを送り、被害者を正規のログインページ（microsoft[.]com/devicelogin）へ誘導する。
- 被害者が自分の端末でコードを入力し、認証情報と MFA を完了させる。
- その結果として発行された アクセストークンと更新トークン（Refresh Token）が攻撃者の手元に渡る。
被害者はあくまで正規の Microsoft サイトで操作するため、不審な点に気づきにくく、MFA も突破されてしまうのが特徴です。
なぜ MFA やパスワードリセットでは防げないのか
この攻撃の本質的な怖さは、盗まれるのが「パスワード」ではなく「トークン」である点にあります。そのため、従来型の対応では取りこぼします。
パスワードを変更しても無効化されない：
攻撃者が握っているのは更新トークンであり、明示的にトークンを失効させない限りアクセスは維持されます。
フィッシング耐性 MFA（パスキー / FIDO2）でも防げない：
AiTM 攻撃に有効なパスキーも、この手口には効きません。ユーザーが（認証方式が何であれ）認証を完了し、発行されたトークンを自ら攻撃者へ渡してしまうためです。
つまり、認証を「より強くする」だけでは防げず、後述する 不要な認証フローそのものの遮断が本丸の対策になります。この役割分担は、多層防御の観点でも重要なポイントです。
PhaaS による大規模化と AI の悪用
ターンキー型キット「EvilTokens」
2026 年 2 月以降、デバイスコードフィッシングを誰でも実行できるようにした PhaaS キット EvilTokens が確認されています。セキュリティ企業 Sekoia の分析によると、EvilTokens は自己ホスト型のフィッシングテンプレートを提供し、Adobe Acrobat・DocuSign・SharePoint などの正規サービスを装ったおとりページを用意します。被害者には検証コードと「Continue to Microsoft」ボタンが提示され、ボタンを押すと 正規の Microsoft デバイスサインインページがポップアップで開く仕組みです。
配布手段も多彩で、PDF・HTML・DOCX・XLSX・SVG といった文書ファイルに QR コードやリンクを仕込む形が観測されています。
参考: New EvilTokens service fuels Microsoft device code phishing attacks（BleepingComputer）
“The kit is sold to cybercriminals over Telegram and is under continuous development”
（このキットは Telegram 上で犯罪者に販売されており、継続的に開発が進められています）
https://www.bleepingcomputer.com/news/security/new-eviltokens-service-fuels-microsoft-device-code-phishing-attacks/
開発者は Gmail や Okta 向けページへの拡張も表明しており、BEC（ビジネスメール詐欺）の足がかりとして大規模に使われていると見られています。
AI による自動化と検知回避
Microsoft Defender Security Research が 2026 年 4 月 6 日に公開したアドバイザリでは、このキャンペーンが従来の手作業中心の手口から、AI 主導のエンドツーエンドな自動化インフラへ移行している点が指摘されています。とりわけ、動的なコード生成によって デバイスコードの 15 分という有効期限を回避し、攻撃の成功率を押し上げているのが特徴です。
参考: Inside an AI-enabled device code phishing campaign（Microsoft Security Blog）
“this campaign demonstrated a higher success rate, driven by automation and dynamic code generation”
（このキャンペーンは、自動化と動的なコード生成により、より高い成功率を示しました）
https://www.microsoft.com/en-us/security/blog/2026/04/06/ai-enabled-device-code-phishing-campaign-april-2026/
生成 AI は、RFP（提案依頼）・請求書・文書共有通知・製造業務などのテーマで、標的の役職に合わせてルアーをパーソナライズするのに使われています。これは、2025 年 2 月にロシア系の攻撃グループ（Storm-2372）が手作業で行っていた初期のデバイスコードフィッシングから見て、大きな進化です。実際、2026 年 3 月初旬には、検知されたデバイスコードフィッシングのページ数が前月比で 15 倍に急増したとの報告もあります。
Kali365 / AiTM との統合
さらに 2026 年 5 月には、FBI が新たな PhaaS プラットフォーム Kali365 について注意喚起を行いました。Kali365 は OAuth トークンを捕捉し、資格情報を盗まずに MFA を回避します。注目すべきは、デバイスコードフィッシングと AiTM（中間者攻撃）の機能を単一のプラットフォームへ統合する動きが進んでいることです。
手口は違っても、ゴールはいずれも「トークンの窃取」で共通しています。デバイスコードフィッシングは、より広いトークン窃取型攻撃の一角として捉えるのが実態に即しています。
検知回避の手口（正規サービス悪用・アンチ解析）
攻撃者は、フィッシングメールを確実に受信トレイへ届け、セキュリティ製品による解析を妨害するために、手の込んだ隠蔽を行います。
正規リダイレクトサービス・Cloudflare Workers の悪用
フィッシングメールには、Cisco・Trend Micro・Mimecast といった正規のセキュリティベンダーが提供するリダイレクトサービスの URL が悪用されます。これにより、メールゲートウェイやスパムフィルターが「安全なリンク」と誤認します。クリックした被害者は、侵害済みサイトや Cloudflare Workers・Vercel などを経由する複数回の転送（マルチホップリダイレクト）を経て、最終的なフィッシングサイトへ到達します。
開発者ツールの無効化などのアンチ解析
ランディングページには、セキュリティ研究者による解析を妨害するための技術も組み込まれています。右クリックやテキスト選択の無効化、F12 や Ctrl+Shift+I などのキーボードショートカットのブロックに加え、ブラウザのウィンドウサイズから開発者ツールの起動を検知すると、無限ループを発生させてデバッガーをクラッシュさせる挙動も確認されています。
Entra ID における防御とインシデント対応
デバイスコードフィッシングは正規の Microsoft インフラを利用するため、URL フィルタリングだけでは防ぎきれません。Entra ID の設定とログ監査による多層的な防御が必要です。
条件付きアクセスでデバイスコードフローを遮断する（最優先）
最も確実な事前対策は、組織で使っていない不要な認証フローを塞ぐことです。前述のとおりフィッシング耐性 MFA でも防げないため、フロー自体の遮断が本丸になります。
現行の Entra ID では、条件付きアクセスの 「認証フロー（Authentication Flows）」条件を使って、デバイスコードフローを明示的にブロックできます。Help Net Security が伝える Microsoft の案内でも、全ユーザーに対してこの条件でデバイスコードフローをブロックすることが最も強力な緩和策とされており、まずは レポート専用（report-only）モードで影響を確認してから有効化するのが安全です。Microsoft マネージドの条件付きアクセスポリシーにも、これを既定でブロックするものが用意されています。
実装の勘所は次のとおりです。
- 原則として 全ユーザーでデバイスコードフローをブロックする。
- Microsoft Teams 専用デバイスなど、業務上どうしても必要な対象だけを 除外グループで許可し、例外を最小限かつ管理可能に保つ。
- いきなり強制せず、report-only で正規利用の有無を確認してから切り替える。
サインインログからの異常検知
事前遮断と並行して、継続的なログ監視で早期発見の網を張ります。
- Entra ID のサインインログを定期的に監査し、デバイスコードフローでの不審な認証成功や、見慣れないホスティング事業者・国からのアクセスをハンティングする。
- 本キャンペーンの攻撃インフラとして確認されている Railway の IP アドレス（例: 162.220.234.41、162.220.234.66）からのアクセス履歴を確認する。
- 継続的アクセス評価（CAE）を有効にし、サインイン時だけでなくリアルタイムでトークンの有効性を再評価できるようにする。
侵害時のインシデント対応（トークン無効化が要）
デバイスコードを用いた異常な認証成功が確認された場合、パスワード変更だけでは不十分です。盗まれているのはトークンだからです。初動は次をワンセットで実施します。
- Entra ID 管理センターから対象ユーザーの セッションを取り消し（Revoke sessions）、発行済みの更新トークンをすべて無効化する。
- 攻撃者が仕込んだ 受信トレイルール・メール転送ルールを点検・削除する（侵害後の永続化・情報持ち出しに多用される）。
- 不審な OAuth アプリの同意を失効させる。
- 可能であれば、攻撃インフラ（特定ホスティング事業者の IP 帯）からの認証をブロックする。
まとめ
本記事では、MFA を突破するデバイスコードフィッシングの脅威と、Entra ID での対策を解説しました。
- デバイスコードフィッシングは正規画面を使ってユーザー自身に MFA を突破させ、トークンを奪うため、パスワード変更やフィッシング耐性 MFA だけでは防げない。
- 2026 年は EvilTokens などの PhaaS と AI による自動化で大規模化し、Kali365 のように AiTM と統合する動きも進んでいる。
- 最も確実な対策は、条件付きアクセスの 「認証フロー」条件でデバイスコードフローを遮断すること（report-only で検証してから有効化）。
- サインインログを監視し、侵害時は セッション取り消しによるトークン無効化と、永続化（ルール・アプリ同意）の除去まで徹底する。
デバイスコードフィッシングは、より広いトークン窃取型攻撃の一部です。認証・アクセス制御・監視・対応を重ねる多層防御の中で位置づけることで、より堅牢な備えになります。
以上、最後までお読みいただきありがとうございました。
