7 月 27 日の週は、計画された廃止、脆弱性の公開、そして進行中の脅威インテリジェンスが入り混じり、すべての Entra ID 管理者が注視すべき内容となりました。変更点と対応策を以下にまとめます。
1. Entra ID Protection の従来のリスクポリシーが 10 月 1 日に廃止
Microsoft は、Entra ID Protection で構成された従来のユーザーリスクおよびサインインリスクポリシーが 2026 年 10 月 1 日に廃止されることを確認しました。この日以降、これらのポリシーは完全に機能しなくなります。自動移行も猶予期間もありません。
危険性： 10 月 1 日までに条件付きアクセスで同等のポリシーを再作成しないと、高リスクとしてフラグが付けられた侵害済みユーザーが、追加の検証なしに通常どおり認証を続けられる可能性があります。これは、セキュリティ制御が気付かないうちに失われることを意味します。
タイムライン：
- 2025 年 7 月 31 日 — Entra ID Protection のリスクポリシーページが読み取り専用に
- 2026 年 10 月 1 日 — 完全廃止。ポリシーはユーザーを保護しなくなる
移行手順：
- 条件付きアクセスで同等のユーザーリスクおよびサインインリスクポリシーを作成する（レポート専用モードで開始）
- 想定どおりの動作を検証する
- ポリシーをオンにする
- ID Protection の古いリスクポリシーを無効にする
⚠️ ユーザーリスクとサインインリスクは別々の条件付きアクセスポリシーとして維持してください。Entra ID P2 ライセンスが必要です。
Microsoft は、条件付きアクセスのブレードの「テンプレートから新しいポリシーを作成」に事前構築済みのテンプレートを用意しています。
2. CVE-2026-34348：Pass-the-Passkey 攻撃
セキュリティ研究者の Michael Grafnetter 氏（SpecterOps）は、Windows 11 と Microsoft Entra ID に影響する一連の「Pass-the-Passkey」攻撃を特定しました。この研究は Black Hat USA（8 月 1～6 日、ラスベガス）で発表される予定です。
脆弱性チェーン：
- CVE-2026-34348（CVSS 6.5） — Windows イベントログサービスが、パスキー関連のデジタルキーの完全なコピーをイベントログに平文で書き込んでおり、認証済みの非特権ユーザーなら誰でも読み取れる状態だった
- Entra ID のクラウド側の欠陥 — これらのアサーションの再利用を防げていなかった
- これらが組み合わさることでリプレイチェーンが成立し、フィッシング耐性のある MFA を回避しながら特権クラウド ID になりすますことが可能になっていた
Microsoft の対応： 2026 年 7 月 14 日に Windows 側の問題を修正し、クラウド側の動作も静かに修正しました。
取るべき対応：
- 2026 年 7 月のセキュリティ更新プログラムを直ちに適用する
- 特権ユーザーにはデバイスバインドパスキーを優先する
- 構成証明（attestation）を強制する
- フィッシング耐性のある MFA を唯一の防御層として頼らない
3. Entra ID を標的とする進行中のフィッシングキャンペーン
デバイスコードフローの悪用（Trend Micro）
Trend Micro が報告した進行中のフィッシングキャンペーンは、Microsoft の OAuth 2.0 デバイス認可付与フローを悪用して MFA を回避しています。
- 攻撃者は入力制限のあるデバイスになりすまし、正規のデバイスコード要求を開始する
- 被害者は、ドキュメント共有メール、QR コード、または「アカウント確認」の表示によっておびき寄せられる
- 本物の Microsoft ログインで MFA は満たされるが、トークンは攻撃者のシステムに発行される
- 攻撃者は不正なデバイスを登録し、長期間有効な更新トークンを取得する
防御策： 厳密に必要でない場合は、条件付きアクセスでデバイスコードフローをブロックします。ほとんどの組織は広範囲にブロックし、限定的な例外のみを許可できます。
「Pink」ボイスフィッシングキャンペーン（Okta Threat Intelligence）
脅威グループ O-UNC-066（「Pink」）は、ボイスフィッシングを使用して、登録段階で Entra ID のパスキー登録を乗っ取っています。
- 攻撃者は IT サポートを装って従業員に電話をかけ、偽装ドメイン（setpasskey[.]com、passkeydeploy[.]com）へ誘導する
- ライブオペレーターが被害者の進行状況をリアルタイムで監視する
- 被害者が資格情報と MFA を入力している間に、攻撃者は自分のパスキーを被害者の M365 アカウントに登録する
- その後、SharePoint/OneDrive からの迅速なデータ窃取が続く
防御策： 認証子のライフサイクルイベントにアラートを設定し、認証方法の登録をネットワーク/デバイスで制限し、既存のパスキー登録を監査し、既知のサポート窓口を通じて発信者を確認するよう従業員をトレーニングします。
IT 管理者向けアクションアイテム
| 優先度 | アクション | 期限 |
|---|---|---|
| 🔴 緊急 | 2026 年 7 月のセキュリティ更新プログラムを適用（CVE-2026-34348 を修正） | 今すぐ |
| 🔴 緊急 | 従来のリスクポリシーを条件付きアクセスに移行 | 2026 年 10 月 1 日 |
| 🟡 高 | 使用していない場合は CA でデバイスコードフローをブロック | できるだけ早く |
| 🟡 高 | パスキー登録と登録方法を監査 | 毎週 |
| 🟢 通常 | リスク条件の条件付きアクセスポリシーが分離されていることを確認 | 今週 |
この記事は、Microsoft Learn、Microsoft Tech Community、M365 メッセージセンター、SpecterOps の研究、Trend Micro の脅威インテリジェンス、Okta の研究をもとに調査・作成しました。