Azure多要素認証のSMSエラー399287の原因と対処方法

Microsoft Entra ID（旧Azure AD）やAzureポータルにサインインする際、SMSによる多要素認証で「エラーコード 399287」が表示され、管理者アカウントにまったく入れない──という状況は、中小企業や個人管理のテナントでは致命的なトラブルになりかねません。この記事では、実際に報告された事例をもとに、このエラーの原因と、復旧までの流れ・再発防止策を整理して解説します。

SMS認証エラー「399287」の概要

今回のケースは、Microsoft Entra IDのグローバル管理者アカウントに対して、SMSによる多要素認証（MFA）を求められた際にエラーコード399287が表示され、認証が完了できないという問題です。

さらに厄介なのは、次のような条件が重なっていた点です。

• 管理者は1人だけ（唯一のグローバル管理者アカウント）
• 以前利用していたスマートフォンを紛失し、Authenticatorアプリが使えない
• 代替手段として登録していたSMS認証もエラーになり利用不可
• 電話番号自体は、他のサービスでは問題なく使えている

結果として、AzureポータルやMicrosoft 365 管理センターに一切入れず、請求やサービス設定を変更できない状態に陥っていました。

このときの原因として Microsoft 側が示したのが、「電話番号の評判（レピュテーション）が悪く、MFA用のSMSがブロックされている」という点です。電話番号に「悪い評価」が付いているため、セキュリティ上の理由からSMS認証が拒否され、その結果エラー399287が返されている、という位置づけになります。

項目	内容
対象環境	Microsoft Entra ID（旧Azure AD）／Azureポータル／Microsoft 365 管理センター
認証方式	SMSによる多要素認証（MFA）
エラーコード	399287
主な原因	登録された電話番号が「悪い評判（bad reputation）」としてブロックされている
影響	MFAが完了できず、管理者アカウントでサインイン不能になる

「電話番号の悪い評判（bad reputation）」とは何か

Microsoftがいう「電話番号の評判」とは、その番号が不正利用や迷惑行為に使われていないかを、複数の情報源から評価した結果と考えられます。詳細な仕組みは公開されていませんが、一般的には次のような要素が関係するとされています。

• その番号から大量のSMSが送信されていないか
• スパムや詐欺に関連する苦情・報告がないか
• 過去に不正アクセスやアカウント乗っ取りに使われた履歴がないか
• 一時的な使い捨て番号・共有番号として扱われていないか

こうした情報をもとに、セキュリティリスクが高いと判断された番号は、MFA用途での利用をブロックされることがあります。今回のケースのように、ユーザー側から見ると「普通に契約している携帯番号で、他サービスでは問題ない」のに、MicrosoftのMFAだけが通らない、という現象が起こり得ます。

重要なのは、このブロック判定はユーザー側の設定画面から解除できないという点です。管理者本人であっても、通常の管理ポータルから電話番号の「評判」を直接修正することはできません。

解決方法の全体像

エラー399287が出て多要素認証が完了できない場合、基本的な解決パターンは次の2通りに分かれます。

ケース	対応の方向性
別のグローバル管理者が存在する	別の管理者にログインしてもらい、問題のアカウントのMFA設定をリセット・再登録する
グローバル管理者が1人しかいない	Microsoftサポートに問い合わせ、バックエンドでMFAブロック解除またはMFAリセットを依頼する

今回の事例では後者、「グローバル管理者が1人だけ」という状況だったため、Microsoftサポートとエンジニアリングチームによるバックエンド作業でMFAブロックを解除してもらうことで解決しています。

別のグローバル管理者がいる場合の一般的な手順

もしテナント内に複数の全体管理者（グローバル管理者）が存在する場合、次のような流れで自己解決を試みることができます。

1. 別の管理者アカウントでAzureポータルまたはMicrosoft 365 管理センターにサインインする。
2. 問題のユーザー（MFAでロックされている管理者）のアカウントを開く。
3. ユーザーのMFA設定をリセットする（多要素認証の再登録を強制する）。
4. 必要に応じて、電話番号を変更したり、Authenticatorアプリなど別の認証方法を事前に登録させる。
5. 問題の管理者が再度サインインを試し、新しいMFA登録プロセスを完了する。

この方法であれば、Microsoftサポートに依頼しなくても、自分たちだけで復旧させられる可能性があります。ただし、エラー399287のように電話番号そのものがブロックされている場合は、電話番号を別のものに変えるか、AuthenticatorアプリやFIDO2セキュリティキーなど別方式のMFAに切り替えることが重要です。

グローバル管理者が1人しかいない場合の対処

今回のように「テナント内にグローバル管理者が1人だけ」で、その唯一の管理者がMFAでロックされてしまった場合、自力での復旧はほぼ不可能です。通常の画面からはMFAを解除できないため、Microsoftサポートに直接連絡し、エンジニアリングチームにバックエンドでMFAブロックを解除してもらう必要があります。

実際の事例では、サポートとのやり取りの中で次の情報を提供し、エンジニアリングチーム側で「電話番号の悪い評判」をクリアにしてもらったことで、SMS認証が再び通るようになりました。

• 対象ユーザーのサインイン用メールアドレス
• テナントID（GUID形式）
• 問題の電話番号
• 国番号（+81など）
• 電話番号の国（Japanなど）

この対応後、ユーザーは再びAzureポータルにログインできるようになり、SMSによるMFAも正常に動作するようになったと報告されています。

Microsoftサポートに依頼する際の準備事項

グローバル管理者が1人だけでロックアウトされている場合、時間との勝負です。請求対応やサービス停止のリスクがあるため、サポートに連絡する際は、あらかじめ必要な情報を整理しておくとスムーズに話が進みます。

項目	内容の例	ポイント
テナントID	xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx	Azureポータルに入れない場合は、契約書類や以前のメール、ライセンス情報などから確認
サインイン用メールアドレス	[email protected] など	ロックされている管理者アカウントのもの
電話番号	+81 90-1234-5678 など	MFAに登録している番号を、国番号付きで正確に伝える
国・地域	Japan など	電話番号の国と実際の利用国が異なる場合はその旨も説明
発生しているエラー内容	SMS認証時にエラーコード399287が表示される	画面のスクリーンショットがあればベスト
状況の説明	唯一のグローバル管理者であり、Authenticatorアプリ用の端末を紛失している など	なぜ他の管理者や他のMFA方法が使えないのかを整理して説明

これらの情報を整理したうえで、「管理者がMFAでロックされており、エラー399287が発生している」「電話番号の悪い評判をクリアしたい／MFA設定をリセットしたい」といった形でサポートに依頼すると、エンジニアリングチームへのエスカレーションがスムーズになります。

復旧後に必ず見直したいポイント

今回のように、唯一のグローバル管理者がロックされると、テナント全体の運用が止まってしまいます。復旧したあとは、同じ事態を繰り返さないために、次のようなポイントを必ず見直しましょう。

MFAの認証方法を複数登録する

一つの認証方法しか登録していないと、その手段が使えなくなった瞬間にログインできなくなります。特に管理者アカウントでは、必ず複数のMFA手段を登録しておくことが重要です。

• Microsoft Authenticator アプリ（プッシュ通知・ワンタイムパスコード）
• SMSによるコード送信（メインの携帯番号）
• 音声通話によるコード通知（別の番号）
• FIDO2 セキュリティキー（物理キー）
• 会社の代表電話や固定電話など、紛失しにくい番号

特に、スマートフォンを紛失した場合でも、ほかの番号や物理キーで認証できるようにしておくと、ロックアウトのリスクを大幅に減らせます。

グローバル管理者アカウントを複数用意する

テナントを1人で運用している場合でも、グローバル管理者は最低2アカウント用意することが推奨されています。普段使う管理者アカウントとは別に、緊急時にのみ使う管理者アカウントを作成しておくことで、どちらか一方がロックされても、もう一方で復旧作業が可能になります。

• 日常運用用の管理者アカウント
• 予備・緊急用の管理者アカウント

それぞれに対して別々のMFA手段を登録しておくと、特定の電話番号や端末に依存せずに管理者機能を維持できます。

「ブレークグラス」用アカウントの検討

組織によっては、非常事態にのみ使用する「ブレークグラス（非常用）」アカウントを用意することがあります。これは、厳格なパスワード管理やアクセス制限とセットで、通常は一切使わない前提のアカウントです。

運用例としては、次のようなイメージです。

• ブレークグラス用アカウントを1〜2つ作成
• 強力なパスワードを設定し、厳重に保管（オフライン保管を含む）
• 通常のログインには一切使わず、緊急時にのみ利用
• 使用した場合は必ず記録を残し、パスワードも変更する

このような仕組みを用意しておくと、MFAや電話番号周りのトラブルが発生しても、最後の手段としてテナントにアクセスできる可能性を残しておけます。ただし、セキュリティ上の影響も大きいため、社内ポリシーに合わせて慎重に設計・運用してください。

電話番号の評判を健全に保つためのポイント

エラー399287は、「電話番号の評判」が原因となって発生したとされています。ユーザー側で直接コントロールできる範囲は限られますが、次のような点を意識することで、リスクを軽減できる可能性があります。

• 見知らぬサービスへの登録や、怪しいSMS認証にむやみに利用しない
• 短期間に大量のSMSを送受信する用途で電話番号を使わない
• スパム送信に悪用されていないか、携帯キャリアからの通知に注意する
• 会社で使い回ししている共有携帯番号の場合、利用方法を見直す
• 長期間使っていない番号・一時的なプリペイド番号をMFAに登録しない

また、どうしても特定の番号でトラブルが続く場合は、MFA用に別の番号を用意することも検討対象になります。たとえば、管理者専用の携帯回線を新たに契約し、その番号だけは業務用途以外に使わないようルール化する、といった運用も一案です。

状況	想定されるリスク	対策の例
多数のサービスに同じ番号を登録	いずれかのサービスから情報漏えいし、悪用される可能性	重要度に応じて番号を分ける（管理者用・一般ユーザー用など）
共有携帯で複数人が利用	誰がどのサービスに使ったか追跡しづらい	管理者用MFA番号は個人専用にする
プリペイドや短期契約の番号	利用履歴が不明で、評判が悪化している可能性	長期利用を前提とした番号のみMFAに登録する

同様のトラブルを避けるためのチェックリスト

最後に、今回のSMS認証エラー（399287）のようなトラブルを防ぐためのチェックポイントを一覧にまとめます。テナント運用の見直しに活用してください。

観点	確認内容
管理者アカウント数	グローバル管理者は2アカウント以上用意しているか
MFAの多重化	各管理者に対して、SMS以外のMFA（Authenticatorアプリ、物理キーなど）も登録しているか
電話番号の設計	MFAに使う番号を、業務用途以外にむやみに流用していないか
端末紛失対策	スマホ紛失時の手順（誰に連絡し、どう復旧するか）が決まっているか
緊急用アカウント	ブレークグラス用アカウントや予備管理者を用意し、その存在と管理方法を記録しているか
サポート連絡体制	Microsoftサポート窓口への連絡方法や契約情報（テナントIDなど）をすぐに取り出せる状態か
ドキュメント化	上記の情報や手順が、担当者に依存せず共有・保管されているか

まとめ

SMSによる多要素認証で発生するエラーコード399287は、表面上は単なる認証エラーに見えますが、その裏では電話番号の評判（bad reputation）に基づくセキュリティブロックが行われているケースがあります。このブロックはユーザー側の画面からは解除できず、とくに唯一のグローバル管理者アカウントがロックされてしまった場合、テナント全体が身動きの取れない状態に陥ってしまいます。

今回紹介した事例では、Microsoftサポートを通じてエンジニアリングチームに依頼し、電話番号のブロックと悪い評判を解除してもらうことで、SMS認証が復旧しました。このことから、グローバル管理者が1人しかいない構成の危うさと、MFA手段・管理者アカウントの冗長化の重要性がよくわかります。

エラー399287に直面した場合は、まずは状況を整理し、テナントIDや電話番号など必要な情報をそろえたうえで、速やかにMicrosoftサポートへ連絡するのが現実的な解決ルートです。そのうえで、復旧後には必ず、

• 複数の管理者アカウントの用意
• MFA手段の多重化（Authenticatorアプリ・SMS・物理キーなど）
• 電話番号の運用ポリシーの見直し
• 緊急時の連絡手順・ブレークグラスアカウントの検討

といった再発防止策を実施しておくことが、長期的なテナント運用の安定につながります。小さなトラブルのように見えても、管理者がログインできない問題はビジネスに直結する重大なリスクです。今のうちに体制を見直し、「同じ問題が起きても慌てずに対処できる状態」を整えておきましょう。