条件付きアクセスのバイパスシナリオ：最新のID脅威を理解し、防ぐ

By Mirko Peters · 2026-04-26

条件付きアクセスは、Microsoft 365 または Azure 環境へのサインインを誰が、どのような条件で許可するかを管理するための防御の最前線です。ユーザーがサインインしたりリソースへアクセスしたりするたびに、条件付きアクセスポリシーがアクセスを許可するか、追加の認証を求めるか、ブロックするかを判断します。

Automatically translated with AI from the original post. Read the English original

条件付きアクセスは、Microsoft 365 または Azure 環境へのサインインを誰が、どのような条件で許可するかを管理するための防御の最前線です。ユーザーがサインインしたりリソースへアクセスしたりするたびに、条件付きアクセスポリシーがアクセスを許可するか、追加の認証を求めるか、ブロックするかを判断します。本ガイドでは、実際の攻撃者がこうしたポリシーをどのように回避するのかを紹介します。予想外の手口を使うこともあります。

一般的な設定ミス、攻撃者の巧妙な手口、ハイブリッド ID の悪用といった高度な手法まで、脅威の全体像を取り上げます。理論だけでなく、検出と防御に役立つ実践的なヒントも紹介します。クラウド ID の管理を担当している方にとって、防御の穴がどこに生じやすいのか、そして攻撃者に突破される前にどう修正すればよいのかが分かる内容です。

条件付きアクセスのバイパスリスクと脅威の概況

条件付きアクセスは、クラウド ID と重要なビジネスデータを保護する Microsoft の主要な制御ポイントです。その中核は、誰が接続を許可されるか、どこから、どのデバイスで、どのようなセキュリティチェック（MFA や準拠デバイスなど）を経て接続するかを定義するルール、つまりポリシーを作成できる点にあります。

目的はシンプルです。適切な人が、適切な状況でのみアクセスできるようにすることです。攻撃者もこの点を理解しています。条件付きアクセスのバイパスは、誰かがポリシーの隙を見つけて回避したときに発生します。技術的な抜け穴の場合もあれば、重要なリソースを確認の対象から除外するといった、リスクの高い判断が原因の場合もあります。

これらのリスクは理論上の話ではありません。攻撃者は、見落とされた除外設定、設定ミスのあるポリシー、悪用されやすい ID の信頼関係を積極的に探しています。Microsoft Entra ID（旧 Azure AD）において、アクセスのバイパスを許すと、対策を徹底しない限り、侵害、データ漏えい、永続的なバックドアにつながる可能性があります。

こうしたバイパス経路を発見して遮断することは、これまで以上に重要になっています。防御すべきはパスワードの推測だけではありません。フェデレーションの信頼関係、レガシー サービス、オンプレミスとクラウドの間にある隙間を悪用する攻撃者も対象になります。現代のリスク状況を理解することで、条件付きアクセスを真に「条件付き」に保ち、防御を一歩先に進めることができます。

攻撃者による資格情報の取得と悪意のあるブラウザー活動の悪用

1. フィッシングとソーシャル エンジニアリング：攻撃者は多くの場合、ユーザーの資格情報を盗むために、基本的なフィッシング メールや偽のサインイン ページから攻撃を始めます。巧妙なメッセージであれ、「パスワードのリセット」という一般的なリンクであれ、フィッシングは依然として最も容易な侵入口です。
2. パスワード スプレー攻撃とブルート フォース攻撃：攻撃者は、よく使われるパスワードを多数のアカウントに試し、弱いアカウントが見つかることを期待します。この手法では、アカウントロックを避けて検知をかいくぐるため、各アカウントへの試行回数は少なく抑えつつ、多数のアカウントを対象にします。
3. 悪意のあるブラウザー経由のセッション ハイジャック：高度な攻撃者は、拡張機能やマルウェアを使ってユーザーのブラウザーに感染させます。攻撃者は仕込んだフックによって認証セッションを監視し、ブラウザーからセキュリティ トークンを直接盗み出します。これにより、Microsoft のバックエンドからは正規ユーザーと区別がつかない形で、MFA と条件付きアクセスを回避できます。
4. トークンの窃取と同意フィッシング：従来のパスワードの代わりに、一部のキャンペーンでは OAuth 同意フィッシングを利用し、ユーザーに悪意のあるアプリを承認させます。これらのアプリは権限付与トークンを取得します。このトークンは条件付きアクセスや MFA をすり抜けることが多く、攻撃者はパスワードを知らなくても永続的なアクセスを得られてしまいます。
5. 信頼関係の悪用：ゲスト アクセス、B2B コラボレーション、レガシーなフェデレーション ID の設定を悪用すると、攻撃者は即座に正当なアクセス権を得られます。ゲスト ユーザーに対するポリシーが十分でない場合、攻撃者はその信頼前提を利用してアクセスの関門を素通りできてしまいます。
6. データ漏えいによるクレデンシャルスタッフィング: 過去の侵害で流出したユーザー名とパスワードを使い、攻撃者はパスワードの使い回しを狙って Microsoft のクラウドサインインを試行します。適切に管理されていない条件付きアクセスのアーキテクチャが重なると、この手口は一気に危険になります。

攻撃者は、成功率を最大化するためにこれらの手法を組み合わせます。フィッシングで侵害された管理者アカウントにブラウザーのトークン窃取が加わると、条件付きアクセスを完全に回避されるおそれがあります。特に、例外設定や従来のポリシー、過剰な信頼が環境に入り込んでいる場合は要注意です。

条件付きアクセスの回避を可能にする一般的な設定ミス

条件付きアクセスのポリシーは、最も弱い設定と同程度の強度しかありません。技術そのものは堅牢ですが、強固なルールを設計することと、それを維持し続けることの間には大きな隔たりがあります。ほとんどの回避シナリオは、高度なゼロデイ攻撃から始まるわけではありません。平凡な設定ミス、見落とされたスコープ、またはデバイス状態の乖離から始まります。

多くの環境では、時間の経過とともにギャップが生じます。ポリシーに例外が追加されたり、従来のグループが MFA の要件から除外されたり、管理対象だと想定されているデバイスが実際には定期的にチェックされていなかったりします。攻撃者は、このように適用が一貫していない曖昧な領域を狙い、その隙間をすり抜けます。

最も危険な状況の一部は、多くのアカウント、アプリ、デバイスに対して「一時的に」免除を与え、その後で抜け穴を塞ぐのを忘れてしまうことに起因します。また、デバイスが準拠していることをデバイスのセキュリティが確保されていることと同一視するのも危険です。管理されていないデバイスや誤って登録されたデバイスは、トロイの木馬のように内側からひそかにルールを無効化しかねません。

こうした抜け穴がどのように生まれ、なぜ攻撃者に狙われやすいのかを理解するには、ポリシーのスコープ設定、除外、MFA の適用、デバイス管理に関してよく見られるミスを確認するとよいでしょう。目に見えないセキュリティのギャップを明らかにする方法については、信頼の問題とポリシーの乖離に関する詳しい解説もご覧ください。以降のセクションでは、これらのよくある落とし穴の詳細と、それが攻撃者にとって魅力的な理由を掘り下げます。

MFA の設定ミスとスコープ回避のリスク

1. 過度に広範なポリシーの除外: MFA の適用から除外されたアカウント、グループ、またはアプリケーションは、目に見えない隙間を生みます。攻撃者はこうした例外を狙いますが、それらは監査中に見落とされがちです。
2. MFA の適用の不均一性: 特定のアプリ、プラットフォーム、またはサインインの場所に限定されたポリシーでは、その範囲外で作業しているユーザーが対象から漏れます。攻撃者は、こうした柔軟性に欠ける設定を悪用し、MFA の要求を発生させることなくアクセスを得ます。
3. 従来の認証の有効化のまま放置: IMAP、POP、SMTP などの古いプロトコルは、最新の条件付きアクセスを迂回できるため、攻撃者はパスワードだけで接続できてしまいます。こうしたエンドポイントは、総当たり攻撃の標的になりやすい場所です。
4. 一時的または緊急用のバイパスアカウント: 「ブレークグラス」用の管理者ユーザーや一時的な除外設定は、危機が去った後に放置されがちです。適切に再度ロックダウンされるまで、これらのアカウントは価値の高い標的であり続けます。

ユーザー体験を損なうことなくこれらのギャップを塞ぐ実践的な方法については、この M365 セキュリティガイドで紹介されているベストプラクティスをご覧ください。

回避シナリオにおけるデバイスのコンプライアンスと登録の脆弱性

• 未登録のデバイス: Intune や会社ポータルに登録されていないデバイスは、デバイスベースのアクセスチェックを回避できる場合が多く、機密性の高いシステムが露出するおそれがあります。
• コンプライアンスの乖離: 登録済みのデバイスであっても、ウイルス対策ソフトやパッチ、暗号化の状態が古くなるなどして、ポリシーへの準拠を失うことがあります。それでも、古いポリシーによっては「安全」として扱われ続けることがあります。
• デバイス登録の回避策: 特に古い方式が有効なまま残っている場合、攻撃者はデバイス登録を偽装したり回避したりする巧妙な方法を見つけています。ハイブリッド構成や Intune の展開が不完全な環境では、攻撃対象領域がさらに広がります。
• 継続的な監視の欠如: サインイン時にのみコンプライアンスを確認し、セッション中に動的に確認しないポリシーでは、アクセス許可の付与後に状態が変化したり、侵害されたりする余地が残ります。リアルタイムのコンプライアンス状態については、こちらの Defender for Cloud の資料で詳しく確認できます。

実際に確認されている、また新たに出現しつつある条件付きアクセスのバイパス手法

条件付きアクセス ポリシーのバイパスは、単なる学術的な懸念ではありません。実際の攻撃者やセキュリティ研究者は、毎日本番環境でこれらのシステムを探り、突いています。詳細に文書化されている手法もあれば、新機能の導入やクラウド環境の複雑化に伴って新たに現れる手法もあります。

特に危険な分類は二つあります。リソースやサービスの除外と、認証フローの悪用です。レガシー プロトコル、クラウド API、目立たないアプリのいずれであっても、除外設定は意図せず攻撃者の「マスターキー」となり、最も重要なポリシーをまるごと回避されてしまうおそれがあります。一方、OAuth の同意や適切に管理されていない認可コードなどの認証フローの弱点を突かれると、攻撃者はすべてのチェックポイントに引っかからずに侵入できてしまいます。

Microsoft が機能を更新し、攻撃者が新たな抜け道を見つけ続けるなかで、この状況は絶えず変化しています。従来型と最新の攻撃手法の両方を把握し続けることは、机上では有効でも実環境で通用する防御を維持するうえで不可欠です。ここでは、認識しておくべき主要な戦略と、それに対する防御策を順に見ていきましょう。

リソース除外の回避と、既知の公開された手法

1. レガシー認証エンドポイントの除外: POP3、IMAP、SMTP AUTH などのエンドポイントを条件付きアクセスの対象外のままにすると、攻撃者にとって格好の標的になります。これらの古いサービスは MFA を無視することが多く、最新の保護機能を発動させることなくパスワードの総当たり攻撃を許してしまいます。
2. Graph API とアプリの除外: 条件付きアクセスは主要なユーザー向けアプリを対象にすることが多い一方で、Graph API のような重要なバックエンド API が、意図せず除外されたままになっている場合があります。攻撃者はこうした隙を悪用して、データを収集したり権限を昇格させたりします。同意ベースの API 攻撃について詳しくはこちらをご覧ください。
3. 非対話型サービス アカウント: システムアカウントや自動化用アカウントを条件付きアクセスから包括的に除外すると、バックドアの侵入口となり、多くの場合 MFA やデバイスチェックを丸ごと回避されてしまいます。

ポリシーの除外設定を定期的に見直し、例外を最小限に抑えることは、こうした公知のリスクの穴を塞ぐ最も手早い方法の一つです。

認証フローの悪用と認可コードの横取り

1. OAuth2 同意付与の悪用: 攻撃者はフィッシングによってユーザーを騙し、OAuth の同意フローを通じて悪意のあるアプリへアクセス許可を与えさせます。多くの場合、条件付きアクセスや MFA を経由しません。この方法で得た永続的なアクセスは、資格情報をリセットしても維持されます。詳しくはこちらの同意攻撃の詳細解説をご覧ください。
2. 認可コードのリプレイ: OAuth の認可コードを取得または傍受すると、攻撃者は監視対象のフロー外でアクセス トークンを取得でき、発行時に行われる条件付きアクセスの判定を回避できます。
3. トークンの再利用とリプレイ攻撃: 侵害されたブラウザーや設計の不十分なアプリケーションから盗まれたトークンは、特にトークンの有効期間が長すぎる場合に再利用され得ます。その結果、再認証やチェックを繰り返すことなくアクセスされてしまいます。

こうしたフローを理解しておくと、ログイン画面や同意画面だけでなく、フローの各受け渡し地点で防御を固めることができます。

高度な条件付きアクセスのバイパス: ブラウザー拡張機能とハイブリッド環境のリスク

ここからは、より高度な攻撃の領域に入ります。クラウドのアクセス制御が厳しくなるにつれて、攻撃者が使う手法も巧妙になっています。たとえば、ブラウザー拡張機能が気付かれないままアクセス トークンを収集するケースや、オンプレミスの Active Directory とクラウドの Microsoft Entra ID の境界を攻撃者が突くケースがあります。

現在の攻撃者は、もはやパスワードを推測するだけではありません。デバイス、ID、セッションのコンテキストが足並みをそろえて適用されていない状況を利用しています。監視されていないブラウザー プラグインは、人目に付かないままアクセス トークンを持ち出すことがあります。一方、ハイブリッド環境では、特に AD FS やレガシーのフェデレーション構成が使われている場合に、ポリシー適用に隙間が生じます。

クロスプラットフォーム環境やハイブリッド環境では、攻撃者が侵入できる経路が増えます。参加(join)や同期の設定が弱い、デバイスのコンプライアンスが不完全、信頼の連鎖が一律には保護されていない、といった状況がそれにあたります。この環境で組織を守るには、設定を一つ変えるだけでは不十分です。実際の攻撃では ID とセッションの境界があいまいになりうることを前提に、包括的なゼロトラストの考え方が必要です。ここからは、これらのリスクがどのように現れるのか、そしてセキュリティチームが自社環境で何を見極め、すばやく遮断すべきかを解説します。

悪意のあるブラウザー拡張機能とシームレスなアクセスの悪用

• 拡張機能によるトークンの窃取: 悪意のあるブラウザー拡張機能は、ユーザーがサインインする際に認証 Cookie や OAuth トークンを取得します。これにより、攻撃者はどこからでも有効なセッションを再利用できます。
• MFA のサイレントバイパス: 拡張機能はユーザーが MFA を完了した後に動作するため、攻撃者は「承認済み」のセッションを引き継ぎます。その結果、条件付きアクセスをすべて回避でき、多くの場合検知されません。
• API の自動呼び出し: 一部のマルウェアは拡張機能を使ってブラウザー内で操作を自動化し、標準的なアクセス制御を一度も発動させることなく、データを外部に送信したりメールを転送したりします。
• 検知の難しさ: 準拠済みデバイスからの操作は、すべて正規のユーザーアクティビティに見えるため、従来のログ監視では見つけにくい攻撃です。

ハイブリッド ID とグローバル セキュア アクセスを迂回する手法

1. AD FS ブリッジの悪用: AD FS のようなレガシーのフェデレーションは、クラウドのポリシー更新を適用できないことがあります。トークンのルールが十分に同期されていない場合、攻撃者はブリッジを通過することで、強制可能な条件付きアクセスを回避できる可能性があります。
2. B2B とテナント間の信頼の連鎖: Azure AD B2B で招待された外部ユーザーやパートナーは、ゲストアカウントやフェデレーションされたアカウントに同じ基準が適用されていない場合、より厳しいポリシーを回避することがあります。攻撃者はこうした「信頼された」関係を悪用して、横方向の移動を行います。
3. 非管理デバイスによる迂回: ハイブリッド環境では、デバイス登録の不備、Intune のコンプライアンスのずれ、「信頼できる」OS という思い込みによって、管理されていないエンドポイントが侵入する経路が生まれることがあります。
4. クロスプラットフォームのデバイス信頼の問題: Windows の準拠状態だけを確認するポリシーでは、macOS、モバイル、または混在環境からのアクセスを誤って許可してしまうことがあります。これらの環境にはそれぞれ固有の特性と脆弱性があります。ゼロトラストによる統合的な保護を詳しく知りたい場合は、こちらの Zero Trust by Design の資料をご覧ください。

バイパス攻撃の検知、軽減、修復の戦略

脅威を理解することは、半分の対策にすぎません。残りの半分は、バイパスの試みを検出し、遮断し、対応できる強固な防御を構築して維持することです。できれば攻撃者が機密データに到達するよりずっと前に検知したいところです。これは単に設定を有効にすることではなく、継続的な警戒と規律あるポリシー管理の問題です。

効果的な検知には、セキュリティ分析、詳細なログ記録、そして自組織でのトラフィックのあるべき姿を正しく把握することを組み合わせる必要があります。SIEM ツールを統合し、Microsoft 365 のネイティブ機能を活用し、MITRE ATT&CK などのフレームワークに対応づけることで、被害が出る前に新しい、変化し続ける攻撃手法を見つけやすくなります。

軽減策については、ポリシーの強化を一度きりの作業ではなく、継続的に行うものとして捉える必要があります。適用範囲、除外設定、デバイスの信頼要件を定期的に見直し、可能な限り自動化して、手作業による面倒な確認を減らしましょう。修復とは一度直すことではありません。危険な変更がフラグ付けされ、攻撃者の弱点になる前に評価される仕組みを整えることです。

以下のセクションでは、実践的なチェックリストと脅威ハンティングの手法を紹介します。条件付きアクセスの制御を、今日強固にするだけでなく、明日の脅威に対しても回復力のあるものに保つための内容です。

軽減策、ポリシーの強化、機密データの保護

1. 定期的なポリシー監査: 条件付きアクセスポリシーの適用範囲と除外設定を、頻繁にレビューする時間を設けましょう。時間の経過とともに蓄積されたレガシーのルールや、範囲が広すぎるルールを特定します。
2. 一貫した MFA の適用: 部分的な展開で満足しないでください。特に管理者アカウントやサードパーティ製の統合では、サポートされているあらゆる場面で多要素認証を適用しましょう。
3. 例外の最小化と継続的な監視: ユーザー、アプリ、デバイスのいかなる除外も、最小限に抑え、期間を限定したうえで、悪用やポリシーのdrift（逸脱）がないか積極的に監視する必要があります。「設定したら放置」では通用しません。
4. デバイスのコンプライアンスを優先する: 現在のコンプライアンス基準を満たすデバイスにのみアクセスを許可してください。自動化されたコンプライアンスツールを使って状態を最新に保ち、初回登録だけに頼らないようにしましょう。
5. データ損失防止（DLP）ポリシー: 適切に管理されたDLP戦略でアクセス制御を重層化し、特にデフォルトの環境や共同作業の環境で、機密情報が露出するリスクを抑えてください。
6. セキュリティと利便性のバランスを取る: 極端に走らないようにしましょう。段階的に「最小権限」を実現し、ポリシーを適応的に展開してください。計画の進め方については、こちらのユーザーの自由とゼロトラストに関する議論で実践的な助言を確認できます。

Graph API と MITRE ATT&CK カバレッジによる脅威ハンティングと検知

• Microsoft Graph APIログの活用: Graph APIを使用して認証、同意、ポリシー評価のログを取得し、先回りした分析を行うとともに、不規則なイベントやバイパスされたイベントを見つけてください。
• SIEMとの統合（Microsoft Sentinel、Splunkなど）: ID、認証、条件付きアクセスのログをSIEMに転送し、相関分析、アラート、フォレンジック調査に役立ててください。
• MITRE ATT&CKの戦術へのマッピング: 検知ルールと監視クエリをMITREのフレームワークに合わせ、初期アクセス、トークン窃取、横方向の移動などの手法を網羅することで、体系的な対応計画を立てられるようにしましょう。
• Purviewでのユーザーアクティビティの監査: Microsoft Purview Auditはテナント全体のユーザー追跡を提供します。規制対象データや高リスクデータを扱う場合は、保持期間の延長と、より詳細なシグナルの取得のために上位のプランへの移行を検討してください。

追加の調査、資料、および文書化されたバイパス手法の一覧

バイパス手法への対策を維持するには、継続的な学習と実環境でのテストへの継続的な取り組みが欠かせません。Microsoftの公式ドキュメントは基本となる良い出発点ですが、脅威インテリジェンスのフィード、セキュリティブログ、公開されている研究では、新たなバイパス経路が絶えず明らかになっています。信頼とポリシーのdriftに関する課題を体系的に知りたい場合は、過度に広い除外設定と見落とされがちな逸脱をテーマにしたこちらの詳細な議論をご覧ください。

実際に確認されている代表的なバイパス手法と、さらに調べるための情報源を簡単な表にまとめました。

• OAuth同意付与の悪用: 攻撃者は悪意のあるアプリの承認を通じて永続化を図ります。(仕組みを読む)
• レガシー認証の穴: IMAP/POPを除外していると、MFAのバイパスやパスワードスプレー攻撃のリスクが生じます。
• B2B／クロステナント信頼の悪用: ゲストユーザーのポリシーが不整合だと、新たな横方向の移動のリスクが生じます。
• ADFS／ハイブリッド環境でのトークンリプレイ: オンプレミスのイオン、または誤って構成されたクラウド同期により、ポリシーの適用に逸脱が生じる可能性があります。

より深く学び、継続的に専門性を高めるために、脅威の状況の変化に合わせて新たなバイパス経路を記録しているMicrosoftのセキュリティブログ、インシデントレポート、新しい研究論文を定期的にチェックしてください。

条件付きアクセスのバイパス対策に関する結論と戦略的な要点

条件付きアクセスのバイパスの一歩先を行くには、単一のポリシーや設定だけでは不十分です。必要なのは、考え方、警戒心、そして規律です。攻撃者は絶えず手法を革新し、忘れられた例外や見落とされた信頼の連鎖を探しています。

最善の防御は多層防御に根ざしています。つまり、アクセス制御を重層化し、単一の要素だけに頼らず、ポリシーの対象範囲とデバイスの状態を定期的に見直すことです。適応的なポリシー、堅牢な監視、そして新たな脅威への迅速な対応によって、攻撃手法が変化しても環境の回復力を保つことができます。

戦略を頻繁に見直し、「一時的」な例外はすみやかに解消し、新しい調査や指針に目を配ってください。条件付きアクセスを定期的なメンテナンスに値する、生きたセキュリティ層として扱うことで、攻撃者の行く手に単なる減速帯ではなく、実際の障壁を築くことができます。