2025-12-01

Microsoft Entra ID における OAuth 同意攻撃を阻止する

このポッドキャストでは、攻撃者がパスワードを盗む代わりに OAuth の同意を悪用して MFA を回避する仕組みを解説します。ユーザーや管理者が悪意のある「生産性向上」アプリを承認すると、メールやファイルの読み取り権限、offline_access などのスコープを持つトークンが攻撃者に渡ります。これにより攻撃者は、パスワードのリセットや新しい MFA デバイスの登録後も、数か月にわたってメール、ファイル、チャットを静かに読み取り続けることができます。通常のアイデンティティイベントではこの許可は取り消されないため、OAuth の許可そのもの、またはサービスプリンシパルを削除する必要があります。ホストは Microsoft Entra の3つの対策を強調しています。ユーザーの同意を低リスクのスコープに限定すること、検証済みの発行元のみを許可すること、リスクの高い権限は管理者の同意ワークフローを通すことです。これらに厳格なログ記録、定期的なレビュー、取り消しの運用を組み合わせることで、現代のクラウド ID 環境における同意ベースの攻撃の大部分を防げるとしています。

Apple Podcasts · Spotify · YouTube · YouTube Music

Stop OAuth Consent Attacks in Microsoft Entra ID (English)