FBIがM365向けMFAバイパス詐欺「Kali365」を警告
MFAも突破する恐怖のPaaS「Kali365」とは？FBIが警告するMicrosoft 365ユーザー狙いの最新フィッシング詐欺
「多要素認証（二段階認証）を設定しているから、我が社のセキュリティは万全だ」――そう思い込んでいる企業ほど、一瞬でアカウントを乗っ取られてしまう極めて深刻な脅威が拡大しています。
米国連邦捜査局（FBI）が公式に警戒を呼びかけた最新のフィッシングプラットフォーム「Kali365」は、パスワードを使わずに従来の防御壁をすり抜ける巧妙な仕組みを持っています。本記事では、Microsoft 365ユーザーを標的とするこの詐欺システムの手口を紐解き、企業やIT担当者が今すぐ見直すべき防御のポイントをお伝えします。
FBIがKali365フィッシング詐欺を公式警告
米国連邦捜査局（FBI）は今週月曜日、Microsoft 365プラットフォームのユーザーを標的とした新たなフィッシング詐欺について公式声明を発表しました。
FBIの調査によると、この一連の攻撃は「Kali365」と呼ばれるプラットフォームを中心として展開されており、洗練された「Phishing-as-a-Service（PaaS：サービスとしてのフィッシング）」システムとして特定されました。これは、高度な技術を持たない犯罪者であっても、サブスクリプションのようにシステムを利用するだけで簡単に大規模なフィッシング攻撃を行える、非常に悪質な仕組みです。
攻撃手法と被害の実態
Kali365がこれほどまでに恐れられている最大の理由は、サイバー犯罪者が被害者のパスワードを必要とせずに、強固とされる多要素認証（MFA）を完全にバイパス（突破）してしまう点にあります。このプラットフォームは主に、秘匿性の高い通信アプリ「Telegram」経由でサイバー犯罪者たちの間に拡散されています。
具体的な手口として、攻撃者はまず正規のクラウドサービスやファイル共有プラットフォームを巧妙に装い、ターゲットへ詐欺的な電子メールを送信します。そのメール内には「アクセスコード」などの数字が提示されており、同時にMicrosoftを装った偽の確認ページ（フィッシングサイト）へと誘導されます。ここでユーザーが誘導通りにコードを入力してしまうと、その瞬間に攻撃者の機器がターゲットのアカウントへ直接アクセスするためのセッション権限を確立してしまいます。
一度攻撃が成功してしまうと、サイバー犯罪者は被害者のOutlookメール受信トレイだけでなく、社内コミュニケーションツールであるTeams、さらには重要な業務データや機密情報が保管されているOneDriveクラウドストレージなど、多岐にわたるMicrosoftリソースを完全に制御（乗っ取り）できるようになります。
FBIの発表によれば、このKali365は、ハッキングの専門知識が乏しい攻撃者であっても、以下のような高度な犯罪機能をパッケージとして利用できるように自動化されています。
- AIを利用したフィッシングトラップ：一見して見破りにくい精巧な偽画面や文面をAIで自動生成する機能
- 自動化されたキャンペーン：大量のターゲットに対して効率的に攻撃メールを展開するシステム
- リアルタイムの監視ダッシュボード：被害者の引っかかり具合や進行状況を視覚的に追跡できる管理画面
- OAuthトークンのキャプチャ機能：一度のログインで永続的なアクセスを可能にするOAuthトークンを直接窃取する機能
現時点での注意点
FBIによるKali365詐欺の最初の特定は2026年4月に発生し、それ以降、本格的な捜査が開始されています。MFAを設定している組織の「安心感」を逆手に取る手口であるため、従来のセキュリティ教育の延長線上では防ぎきれないケースが増えています。
これを受けて、FBIはすべてのユーザーに対し、少しでも不審と感じる電子メールや、身に覚えのないデバイスからのアクセスを検知した場合は、インターネット犯罪苦情センター（IC3）へ速やかに報告するよう勧告しています。また、身に覚えのない一方的なアクセスコードの提示や、それを入力させるためのリンクは絶対にクリックしないよう、組織全体での徹底した注意喚起を呼びかけています。
今回のKali365を巡るFBIの警告は、「パスワードと多要素認証（MFA）さえ設定しておけばアカウントは守れる」という従来の常識が通用しなくなったことを明確に示しています。攻撃者は認証の仕組みそのものをリアルタイムで中継し、セッション情報を認証トークン（OAuthトークン）ごと盗み取るため、ユーザーが「自分で正しい認証プロセスを踏んでいる」と錯覚している間に乗っ取りが完了します。
特にMicrosoft 365は企業のコアインフラとして広く普及しているため、OutlookやTeams、OneDriveが一斉に制御を奪われた場合のビジネスへの打撃は甚大です。企業が取るべき現実的な防衛策は以下の3点です。
- フィッシング耐性のあるMFAへの移行：従来のSMS認証や単純なパスコード入力型ではなく、FIDO2認証（物理セキュリティキー）や、ログイン場所の地図・コンテキストを表示して承認を求める高度な認証アプリの導入を検討する。
- セッション寿命の最適化と異常検知：OAuthトークンの有効期限を可能な限り短く設定し、通常とは異なる場所や不審なデバイスからの同時アクセス（異常なサインイン挙動）を自動で検知・遮断するシステム条件を構築する。
- 「身に覚えのないコード要求」への対応訓練：メールやファイル共有の通知を起点として、ブラウザ上で突然アクセスコードの入力を求められた場合、安易に入力せず一度立ち止まるプロセスを従業員教育（フィッシング訓練）に組み込む。
ツールが「AI化・サービス化（PaaS）」されたことで、サイバー攻撃の頻度と精度は劇的に向上しています。性悪説に基づいた認証プロセスの監視と運用ルールの変更を急ぎましょう。
