Microsoft Entra ID（旧 Azure AD）/ Azure Portal へサインインする際に、MFA の SMS が届かずエラー 399287 で止まる――この状況は「電話番号のレピュテーション／不正検知」により、SMS 送信自体がバックエンドでブロックされている可能性があります。復旧の現実的な手順と、二度と詰まないための運用をまとめます。
起きている症状：SMS が届かないのではなく「送られていない」ことがある
Azure Portal（または Entra 管理センター）にサインインしようとすると、通常は多要素認証（MFA）の 2 段階目として SMS に確認コードが届きます。しかし、次のような状態に陥るケースがあります。
- SMS が一向に届かない（待っても来ない／再送しても来ない）
- 画面上では先に進めず、エラーコード 399287 が表示される
- 他の MFA 手段が使えない（Authenticator 未登録、予備手段なし、セキュリティキーなし等）
- 自分が唯一の管理者で、テナントに入れず復旧作業が進まない
このパターンは、端末やキャリア側の遅延ではなく、Microsoft 側の不正対策ロジックにより「送信前に止められている」ことがあります。表面上は「SMS が届かない」ですが、実態は「SMS が送られていない」ため、ユーザー側の工夫で回避できないことがある点が厄介です。
結論：電話番号が「レピュテーション／不正検知」でブロック扱いだと、ユーザー操作では解除できない
今回の解決はシンプルでした。SMS が“電話番号のレピュテーション（評判）”や不正検知の判定でブロック扱いになっていたため、ユーザー側で設定をいじっても改善せず、Microsoft 側（サポート／モデレーター経由）でバックエンド解除をしてもらう必要がありました。
ポイントは次の 2 つです。
- ブロックはユーザーの画面から解除できない（セキュリティ情報の変更や端末設定では届かないまま）
- 解除にはMicrosoft 側での「ブロック解除」＋「悪いレピュテーション扱いのクリア」が必要になることがある
「同じ番号が他アカウントでは使える」のに、なぜこのアカウントだけ？
「同じ電話番号を別のアカウントでは SMS 認証に使えている。だから番号自体が悪いとは思えない」という疑問はもっともです。ここで理解しておきたいのは、ブロック判定が“番号単体”だけで決まるとは限らないという点です。
実運用では、次のように複合条件でスコアリングされることがあります。
- テナント（組織）側のシグナル（不審なサインイン試行、短時間での再送要求など）
- ユーザー側のシグナル（直近の MFA 失敗、場所・デバイスの変化）
- 電話番号の属性（VoIP/転送系、過去の不正利用シグナル、通信事業者の制約等）
- 送信経路や国・地域に紐づく制限
つまり、「番号が使える／使えない」は別アカウントで成功することと矛盾しないケースがあり、ここを深追いしてもユーザー側での突破口は見つかりにくいのが実情です。
まずは切り分け：ユーザー側で確認できるチェックポイント
バックエンドブロックが疑わしいとはいえ、サポートに依頼する前に最低限の切り分けをしておくと、解決までが早くなります。以下は「やっても無駄」ではなく、サポートへ渡す情報を揃える目的で実施すると効果的です。
切り分けチェックリスト
| 観点 | 確認内容 | 結果の意味 |
|---|---|---|
| SMS 自体の受信 | 同じ端末・同じ番号で、他サービス（銀行や別の Microsoft アカウント）から SMS を受信できるか | 受信できるなら端末・回線障害の可能性は下がる |
| 時間帯・再送 | 数分〜10分待っても届かないか／再送を数回で止めたか | 過度な再送は不正検知を強めることがあるため「やりすぎ」は避ける |
| 番号形式 | 国番号（+81 等）を含めた形式で登録されているか（登録画面で確認） | 形式不一致の典型原因を排除できる |
| 端末の SMS 設定 | 迷惑 SMS フィルタ、ブロックリスト、メッセージアプリのスパム振り分け | 「届いているのに見えていない」を排除できる |
| 通信事業者側 | 国際 SMS の受信制限、契約種別（法人 SIM 等）の制約、MVNO の制限 | キャリア要因の可能性を潰せる |
| サインイン環境 | 別の端末／別回線（Wi‑Fi/4G/5G）でも同じか | ネットワーク起因の一時的問題を排除できる |
このチェックで「他サービスの SMS は受信できる」「端末のスパムにもない」「時間を置いても来ない」まで確認できたら、“届かない”ではなく“送られていない”可能性が高まります。
実際に有効だった対処：Microsoft にバックエンド解除を依頼する
ユーザー側でできることが尽きたら、最短ルートはここです。Microsoft 側の担当（サポート／モデレーター）に状況を伝え、バックエンドでブロック解除とレピュテーション扱いのクリアを実施してもらうことで、SMS が再び届くようになるケースがあります。
ログインできないときの問い合わせルート（現実的な選択肢）
「サポートに連絡する」と言っても、ポータルに入れないとチケットが作れないことがあります。状況別に、使えることが多いルートを整理します（契約形態で変わるため、当てはまるものから試します）。
| 状況 | まず試すルート | 補足 |
|---|---|---|
| 組織で Azure のサポート契約がある | Azure のサポート窓口（契約に紐づく経路） | サブスクリプション所有者・課金管理者など、別アカウントで入れる場合がある |
| Microsoft 365（Business など）のサブスクがある | Microsoft 365 管理センターのサポート | 管理者が 1 人でも、請求関連の連絡先や別ロールが残っている場合がある |
| CSP/パートナー経由で契約している | 契約パートナーへ連絡 | パートナー側から Microsoft にエスカレーションできることがある |
| 本当に誰も入れない | Microsoft サポートへ「テナントの管理者ロックアウト」として相談 | 本人確認や所有確認が必要になりやすいので、証跡を多めに用意する |
サポートへ伝えるべき情報（テンプレ）
依頼時に情報が不足すると、本人確認や調査が長引きがちです。以下を整理してから連絡するとスムーズです。
| 項目 | 例 | 補足 |
|---|---|---|
| テナント情報 | テナント名、テナント ID（分かる範囲） | Azure サブスクリプション情報がある場合は合わせて |
| 対象ユーザー | UPN（user@domain） | 唯一の管理者である旨を明確に |
| 現象 | Azure Portal/Entra でサインイン時、MFA の SMS が届かない | 「他の方法がなくログイン不可」を強調 |
| エラー | 399287 | 可能ならスクリーンショット |
| 電話番号 | +81-90-****-**** | 全文は安全な方法で伝える（公開チャット貼り付けは避ける） |
| 発生時刻 | YYYY/MM/DD hh:mm（JST） | 複数回なら範囲で |
| 試したこと | 端末・回線変更、時間を置いた、スパム確認 | 切り分け結果として提示 |
サポートへの依頼文例
そのまま貼れるように、短く要点だけの文例を置いておきます。
Microsoft Entra ID / Azure Portal へのサインイン時に MFA の SMS が届かず、エラー 399287 で先に進めません。
他の MFA 手段は登録しておらず、当該ユーザーが唯一の管理者のためテナントへアクセスできない状況です。
電話番号のレピュテーション／不正検知により SMS 送信がブロックされている可能性を疑っています。
バックエンドでのブロック解除（レピュテーション扱いのクリアを含む）をご確認・ご対応いただけますか。依頼が通り、バックエンド解除が完了すると、同じ手順でサインインした際にSMS が届くようになり、通常通りログインできるようになります。
解除後に必ずやること：認証方法を増やし、次に詰まない状態へ
ログインできた瞬間が一番危険です。なぜなら、「同じ構成のまま」だと再発したときにまた詰むからです。解除後は、まず認証手段の多重化と管理者運用の見直しを最優先で進めます。
優先度が高い順：復旧直後の ToDo
- Microsoft Authenticator を登録（プッシュ通知とワンタイムコードの両方を有効化）
- 予備の認証手段（予備端末の Authenticator、FIDO2 セキュリティキー等）を追加
- SMS を「唯一の手段」にしない（可能なら既定の方法も変更）
- 管理者が 1 人しかいない場合は、管理者を複数化する
- 緊急用アカウント（break glass）を 1〜2 個作成し、厳重保管する
どこで設定する？セキュリティ情報の変更先
復旧後は、次の画面で認証方法を整理できます。ブックマークしておくと、いざという時に迷いません。
- セキュリティ情報（My Sign-Ins）：認証方法の追加・削除、既定の方法の変更
- MFA セットアップ（ショートカット）：登録導線として便利
特に、Authenticator を入れたら「通知が来ない時でも入れる」ように、アプリのワンタイムコード（TOTP）も使える状態にしておくのが重要です。
なぜ SMS/音声 MFA は詰みやすいのか
SMS は手軽ですが、運用面・セキュリティ面で弱点が多く、特に管理者アカウントでは「最後の砦」にすべきではありません。具体的には次のような要因が絡みます。
- 通信事業者側の制約（国際 SMS、迷惑 SMS 対策、混雑時遅延、MVNO 制限）
- 不正利用対策の影響（短時間の再送や不審なサインインで送信が止まる）
- セキュリティ上の弱点（SIM スワップ、SMS 盗聴、転送設定など）
「手元にスマホがある＝必ず受け取れる」ではないのが SMS です。さらに今回のように、“送る前に止められる”タイプの制限が入ると、ユーザー側では打つ手がありません。
おすすめの MFA 構成：強さと詰みにくさの両立
現場感として、管理者・一般ユーザーで最適解は少し変わります。ここでは「Azure Portal/Entra に確実に入れる」ことを軸に、詰みにくい構成を整理します。
MFA 手段の比較表
| 手段 | セキュリティ | 安定性（届く/使える） | 運用のコツ | おすすめ度 |
|---|---|---|---|---|
| SMS | 低〜中 | キャリア/不正検知で不安定 | 「予備」扱いにし、唯一の手段にしない | △ |
| 音声通話 | 低〜中 | 通話ブロックや自動音声拒否で不安定 | SMS と同様に予備扱い | △ |
| Authenticator（通知） | 中〜高 | 比較的安定（ネット環境に依存） | 通知が届かない時のために「コード」も使えるように | ◎ |
| Authenticator（ワンタイムコード） | 中〜高 | オフラインでも使用可 | 端末紛失に備え、予備端末/復旧手段を用意 | ◎ |
| FIDO2 セキュリティキー | 高 | 非常に安定（物理キーが必要） | 2 本用意し、1 本は金庫へ | ◎ |
| Windows Hello for Business | 高 | 端末依存だが快適 | 端末故障に備え別手段と併用 | ○ |
| 一時アクセスパス（TAP） | 中 | 緊急時の復旧に強い | 発行できる管理者が複数いる体制に | ○ |
「SMS をゼロにしないといけない」という話ではありません。現実には、出張・端末故障・アプリの不調もあります。大事なのは、どれか 1 つが死んでもサインインできる設計です。
唯一の管理者で詰まないための設計：break glass アカウント
「唯一の管理者がロックアウト＝復旧が重い」という事故は、クラウド運用で最も避けたいパターンの 1 つです。これを防ぐ定番が緊急用（break glass）アカウントです。
break glass アカウントの設計例
| 項目 | 推奨 | 理由 |
|---|---|---|
| 数 | 1〜2 個 | 1 個だと同時に詰む可能性があるため |
| アカウント種別 | クラウド専用（通常ユーザーと分離） | 日常運用の影響を受けにくい |
| 権限 | 必要最小限だが緊急対応できる権限（例：全体管理者） | 「入れるけど何もできない」を避ける |
| 保護 | 長く強いパスワード、保管ルールの厳格化 | MFA を外すケースがあるため、パスワードが生命線 |
| ポリシー | 通常の条件付きアクセスから除外（慎重に） | 緊急時にポリシーで弾かれないようにする |
| 監視 | サインイン監査・アラート | 使われたら即検知できるようにする |
break glass は「普段使いしない」ことが前提です。使ったら必ず事後の原因分析と平常系の改善を行い、再び封印できる状態に戻します。
再発を減らす運用のコツ
バックエンド解除で復旧しても、同じ運用を続けると似た事故は起こり得ます。最後に、現場で効くポイントをまとめます。
- 管理者は複数人：最小でも 2 名以上。役割分担と相互確認ができる体制にする。
- 認証方法は複数登録：Authenticator＋FIDO2、Authenticator＋予備端末など、「片方が死んでも入れる」組み合わせにする。
- SMS 再送を連打しない：焦るほどやりがちだが、連打は不正対策に引っかかりやすい。数回で止め、時間を置く。
- 変更作業の前に“復旧できるか”を確認：条件付きアクセスやセキュリティ情報変更の前に、予備のログイン経路を用意してから実施する。
- 運用ドキュメントを残す：誰がどの手段を持っているか、緊急時の連絡経路、サポート契約情報をまとめる。
最終チェック：次に同じことが起きても復旧できる？
この記事の内容を一度に全部やるのが難しい場合でも、最低限、次の 3 点だけは押さえると「詰み」を避けやすくなります。
- 管理者がAuthenticator を登録済み（通知＋コード）
- 管理者が予備手段を 1 つ以上持つ（予備端末 or FIDO2）
- break glass が厳重保管され、監視されている
まとめ：エラー 399287 の「SMS が届かない」は、サポート解除が最短のことがある
Entra ID / Azure Portal のサインインで MFA の SMS が届かず、エラー 399287 で止まる場合、端末やキャリアではなくバックエンド側のブロック（電話番号レピュテーション／不正検知）が原因になっていることがあります。この場合、ユーザー側だけでは解除できないため、Microsoft サポート／モデレーター経由での解除依頼が現実的な解決策になります。
そして復旧できたら、同じ事故を繰り返さないために、Authenticator や FIDO2 等の強い方法へ移行し、代替手段と緊急用アカウントを整備しておくことが、最もコストの安い“保険”になります。
コメント