MENU

Microsoft 365/Entra IDのグローバル管理者乗っ取り対策：アカウント乗っ取り・サイバー ストーキングの緊急対応と恒久防御ガイド

Microsoft 365

家族や親しい人間関係を悪用した「グローバル管理者」乗っ取りは、Microsoft 365/Entra ID 全体を人質に取り、サイバー ストーキングやなりすまし、税務詐欺へ波及します。本記事は、すでに IC3 へ届け出済みの前提で、最初の60分でやるべき緊急対応から、証拠保全・法的手続き・再発防止の設計まで、現場でそのまま使える手順とチェックリストを網羅します。

目次

想定シナリオと被害像の整理

本件は「息子の元交際相手が Microsoft 365（Entra ID, 旧 Azure AD）のグローバル管理者権限を不正取得し、投稿者・家族・友人のアカウントやメール、金融情報へ不正アクセス」している状態を想定します。行為はサイバー ストーキング、なりすまし、税務詐欺、脅迫を含み、家族・友人の私物端末や他社サービスにも被害が拡大している可能性があります。

攻撃の兆候確認ポイント優先度
突然のサインアウト・MFA リセット通知Entra ID の監査ログ（ユーザー更新、認証要素変更）高
メールの自動転送・Inbox ルール増殖Exchange Online の受信トレイルール、組織の自動転送設定高
新しい管理者の出現ロール割り当て（グローバル管理者、特権ロール）最優先
見覚えのない端末・場所からのログインサインインログ（IP/国/デバイス/クライアントアプリ）高
Teams/OneDrive/SharePoint の共有暴露外部共有リンク、来訪者ユーザーの急増中

緊急対応（最初の60分）

まずは被害の拡大を止め、所有権を取り戻します。誰が何を実行するかを分担し、同時並行で進めてください。

1) Microsoft 公式サポートへのエスカレーション

  • 管理者としてサインインできる場合：Microsoft 365 管理センターの「サポートに問い合わせ」から アカウント侵害（compromised） を選択して緊急度を設定。テナント所有者の連絡先・請求情報・ドメイン登録情報で本人性を主張します。
  • サインイン不可の場合：Microsoft 365 / Entra ID のサポート窓口に電話連絡し、身元確認後のテナント所有権回復プロセスに入ります（請求書番号、ドメイン DNS、企業登録情報などを準備）。

2) 不正グローバル管理者の排除

サポートと並走し、以下を行います。可能なら「隔離回線」やクリーン端末から操作してください。

  1. ブレークグラス（緊急アクセス）アカウントでサインイン（メール受信不可のクラウド専用 UPN、強力パスワード、MFA なし・条件付きアクセス除外）。
  2. 不正アカウントの無効化・パスワードリセット・サインアウト強制。
  3. 正規管理者だけを残し、ロール割り当てを棚卸し（グローバル管理者、特権ロール管理者、ユーザー管理者、Exchange 管理者など）。
# Microsoft Graph PowerShell（クリーン端末から）
Connect-MgGraph -Scopes "Directory.ReadWrite.All","User.ReadWrite.All","AuditLog.Read.All","Policy.ReadWrite.ConditionalAccess"

# 侵害アカウントを即時無効化
Update-MgUser -UserId [email protected] -AccountEnabled:$false

# 重要ユーザーのセッション破棄（全サインアウト）
Revoke-MgUserSignInSession -UserId [email protected]

# 一時パスワードを設定（次回強制変更）
Update-MgUser -UserId [email protected] -PasswordProfile @{password="Temp!98765"; forceChangePasswordNextSignIn=$true}

# グローバル管理者ロールの割り当て確認
Get-MgDirectoryRole | Where-Object DisplayName -match "Global Administrator" | 
  ForEach-Object { Get-MgDirectoryRoleMember -DirectoryRoleId $_.Id }

3) 受信トレイルールと転送の遮断（Exchange Online）

# 不審な受信トレイルールを一括除去
Get-Mailbox -ResultSize Unlimited | 
  ForEach-Object {
    Get-InboxRule -Mailbox $_.PrimarySmtpAddress |
      Where-Object { $_.ForwardTo -or $_.ForwardAsAttachmentTo -or $_.DeleteMessage } |
      Remove-InboxRule -Confirm:$false
  }

# 自動転送を全面停止（必要に応じて後で例外化）

Set-RemoteDomain Default -AutoForwardEnabled $false
Get-Mailbox -ResultSize Unlimited | Set-Mailbox -ForwardingAddress $null -ForwardingSmtpAddress $null -DeliverToMailboxAndForward $false

4) 条件付きアクセスと MFA の強制

  • 「既知の場所（自社国・本社 IP）」以外からのサインインを一時ブロック。
  • 認証要素を パスワードレス / FIDO2 / 認証アプリへ移行し、SMS/音声は高リスクユーザーから優先的に廃止。
  • 「レガシー認証（Basic Auth）」をブロック、モダン認証のみ許可。

5) 端末側の隔離とクリーンアップ

  • 家族・友人の PC/スマホをネットワークから切り離し、Microsoft Defender 等でフルスキャン。
  • ブラウザーの保存パスワードを削除し、すべての主要アカウントでパスワード変更＋MFA 設定。
  • 「アカウント回復用メール・電話番号」に攻撃者の連絡先が設定されていないか確認。

監査・証拠保全・影響評価

技術的な復旧と並行して、証拠保全と被害の可視化を行います。後続の警察・弁護士・保険・金融機関対応で決定的な材料になります。

統合監査ログ（Unified Audit Log）と Entra ID ログ

# 主要オペレーションの洗い出し（Exchange/権限操作）
Search-UnifiedAuditLog -StartDate (Get-Date).AddDays(-90) -EndDate (Get-Date) `
  -Operations UpdateInboxRules,Set-Mailbox,Add-MailboxPermission,New-TransportRule,AddToGroup,AddMemberToRole `
  -ResultSize 5000 | Export-Csv .\UAL-keyops.csv -NoTypeInformation

# サインインログ：高リスク・不審 IP の集計（KQL/Log Analytics 想定）

/*
SigninLogs
| where RiskLevelDuringSignIn in ("high","medium")
| summarize Count=count(), First=min(TimeGenerated), Last=max(TimeGenerated)
by UserPrincipalName, IPAddress, AppDisplayName, Location
| order by Count desc
*/

# 監査ログ：ロール割り当ての変更を追跡（KQL）

/*
AuditLogs
| where OperationName has_any ("Add member to role","Add eligible member to role","Update role")
| project TimeGenerated, OperationName, InitiatedBy, TargetResources
| sort by TimeGenerated desc
*/

Microsoft Purview（DLP/eDiscovery）による流出確認

  • DLP レポートで「外部ドメイン宛の機微データ送信」「大量のダウンロード」を可視化。
  • eDiscovery（標準/プレミアム）でキーワード・送信先・時期を指定し、メール・ファイルの証拠保全（保持ポリシーを一時的に強化）。
  • 確証が得られた場合は、関係者（金融機関、税務当局、雇用主、学校等）へ順次通知。

証拠の信頼性を担保する作法

  • スクリーンショットは原本（PNG/HEIC）で保存、時刻・撮影者・端末名をメモ。
  • 重要ファイルは ZIP でまとめ、ハッシュ（SHA-256）を記録。クラウドとオフライン（暗号化 USB）に二重保管。
  • 時系列の出来事（通話・脅迫文・ログイン通知・支払い要求）を発生時刻＋証拠リンクで一枚の年表に整理。

法的・対外コミュニケーション

  • IC3 に提出済みの受理番号を起点に、地域の警察・サイバー犯罪相談窓口へ被害届を正式提出。
  • 脅迫・ストーキングが疑われる場合、刑事・民事（接近禁止命令、損害賠償）双方の観点で弁護士に相談。
  • 金融機関には不正アクセス懸念を連絡し、口座監視・カード再発行・信用凍結（可能な地域）を依頼。
  • 学校・職場にはなりすまし警戒の注意喚起。SNS は一時的に非公開へ切替。

恒久対策：最小権限・ゼロトラストの実装

「グローバル管理者を常時持つ」設計から脱却し、JIT（必要時昇格）＋多層防御へ移行します。

設計の要点

  • グローバル管理者は 2～3 名に限定。日常運用は専用の下位ロールを使用。
  • ブレークグラス（MFA なし、条件付きアクセス除外）アカウントを 2 つ用意し、資格情報を物理的に分離保管。
  • Privileged Identity Management（PIM）を有効化し、承認付きで一時的に昇格（録画・理由必須）。
  • 条件付きアクセスでデバイス準拠・場所・リスクベース制御。リスク高でブロック or 強制パスワードレス。
  • 外部共有は既定で最小。必要時のみ期限付きリンク・来訪者ユーザーで許可。
コントロール狙い実装のポイント
PIM（JIT昇格）管理権限の常時保有を廃止承認者2名、理由・チケット必須、1～4時間で自動失効
ブレークグラス最悪時の管理入口を確保メール不可UPN、強力PW、年1リハーサル、物理分離
条件付きアクセス不審ロケーション・端末を遮断レガシー認証禁止、国ブロック、準拠デバイス必須
パスワードレス/MFAフィッシング耐性の向上FIDO2/Authenticator を標準、SMS は例外のみに縮退
DLP/センサーデータ持ち出し感知外部送信・大量DLのしきい値監視と自動封止

メール・Teams・SharePoint の復旧とクリーン化

Exchange Online

  • 全ユーザーの 委任・送信権限の棚卸し（フルアクセス/送信代行/代理送信）。
  • Transport ルール・コネクタ・受信者制限・ジャーナル設定の異常を点検。
  • 組織の既定ドメイン外への自動転送は原則禁止。ビジネス要件がある場合のみ例外ドメインを明示。

Teams / SharePoint / OneDrive

  • チーム/サイトの所有者を確認し、外部ユーザー・ゲストの棚卸し。
  • 共有リンクの期限切れ設定・ドメイン制限を標準化。
  • 機微データは専用サイト＋アクセス要求ワークフローへ移管。

家族・友人を含む「人的セキュリティ」強化

  • 連絡先に対し、なりすまし注意と合言葉の導入（送金依頼・個人情報要求は合言葉が合致した時のみ応じる）。
  • スマホは OS/アプリ更新、自動ロック、アプリごとの通知内容を最小化。共有 Apple ID/Google アカウントの廃止。
  • 社会的エンジニアリング対策の教育：緊急・限定・秘密を強調する連絡は一旦切って折返すが原則。

運用に使えるチェックリスト

項目完了備考
サポート案件の起案＆所有権回復申請□請求情報・ドメイン DNS を準備
不正管理者の無効化・ロール洗い替え□ブレークグラスで実施
MFA 強制＆レガシー認証遮断□パスワードレスへ移行
受信トレイルール削除＆自動転送禁止□Exchange Online 全体に適用
端末隔離・スキャン・保存PW削除□家族・友人端末を含む
Unified Audit Log / サインインログ保全□90日以上の期間でエクスポート
DLP・eDiscovery による流出確認□重要データの範囲を確定
警察・弁護士・金融機関への通知□受理番号・被害時系列を添付

発生から復旧までのタイムライン例

時間アクション目的
T+0～60分所有権回復の申請、ブレークグラスで遮断、受信トレイルール除去被害の拡大阻止
T+1～6時間MFA/CA 強制、レガシー認証停止、端末隔離再侵入の抑止
T+6～24時間監査ログ・DLP 分析、法的連絡、金融機関通知被害の特定と外部対策
T+2～7日PIM/JIT 設計、データ共有の最小化、教育・告知恒久対策の導入

よくある質問（FAQ）

「ゼロデイ攻撃」では？

管理者乗っ取りの多くは、弱いパスワード、MFA 未設定、共有端末での資格情報漏えいが入口です。入口対策（MFA/パスワードレス/レガシー認証遮断）を標準にしてください。

攻撃者と直接やり取りすべき？

しないでください。交渉は危険で、証拠の毀損や更なる脅迫につながります。警察・弁護士経由でのみ対応します。

家族・友人のアカウントも保護すべき？

はい。攻撃者は身近な人の端末やバックアップメールから脇道を作る傾向が強いです。主要アカウントはすべてパスワード変更＋MFA を徹底し、回復用情報も見直します。

現場でそのまま使えるスクリプト断片

以下は復旧時の「頻出作業」を素早く実行するための断片です。検証テナントで動作確認のうえ、自己責任で活用ください。

アカウントの一括サインアウト・パスワード期限切れ

# 直近24時間にログインしたユーザーを一括サインアウト
$since=(Get-Date).AddDays(-1)
$users = Get-MgAuditLogSignIn -Filter "createdDateTime ge $($since.ToString('o'))" -All | 
  Select-Object -ExpandProperty UserId -Unique
$users | ForEach-Object { Revoke-MgUserSignInSession -UserId $_ }

# 全ユーザーに次回サインイン時のパスワード変更を強制

Get-MgUser -All | ForEach-Object {
Update-MgUser -UserId $_.Id -PasswordPolicies "DisablePasswordExpiration" `
-PasswordProfile @{ forceChangePasswordNextSignIn=$true }
}

「グローバル管理者」ロールの突発付与を検出

/*
AuditLogs
| where OperationName has "member to role"
| where TargetResources has "Company Administrator" or TargetResources has "Global Administrator"
| project TimeGenerated, InitiatedBy, TargetResources, Result
| sort by TimeGenerated desc
*/

被害者保護の観点（デジタル・ストーキング対策）

  • 位置情報共有（家族共有・写真の位置情報）を停止。SNS の公開範囲を「友だちまで」へ縮小。
  • スマホのバックアップ先と共有アルバムを点検。見知らぬ「共有カレンダー」「共有メモ」を削除。
  • 生活アカウント（電気・水道・通販）もパスワード変更・MFA 化。請求書送付先を確認。

「もう同じ目に遭わない」ための運用習慣

  • 月次：Secure Score の改善提案を 3 件以上実装。特権アクセス レビューでロール棚卸し。
  • 四半期：ブレークグラスのリハーサル、インシデント対応机上訓練（役割と連絡網の再確認）。
  • 随時：新規の共有/来訪者追加時に期限・責任者・目的を記録。

まとめ

グローバル管理者の不正取得は、単なるアカウント侵害に留まらず、生活と人間関係を侵食する複合被害です。最初の60分で被害の拡大を止め、監査と証拠保全で「何が・いつ・誰に対して」行われたかを明らかにし、法的手段と金融対策で外部被害を最小化。中長期は PIM/条件付きアクセス/パスワードレス/共有最小化を柱に、常時権限を持たない設計へ移行してください。家族・友人を含む人的セキュリティを強化し、同じ攻撃経路を二度と許さないことが最大の防御です。

付録：連絡・通報の優先順位サマリ

誰に目的伝えるもの
Microsoft サポートテナント所有権の回復・不正管理者の排除ドメイン・請求情報、ログ、被害時系列
警察/サイバー犯罪窓口刑事事件としての記録化・保護要請証拠（スクショ/ログ）と IC3 受理番号
金融機関/税務不正送金・なりすまし申告の抑止本人確認資料、被害内容、口座/カード番号
家族・友人・勤務先なりすまし防止と注意喚起合言葉、連絡ルール、危険サイン

付録：共有テンプレート（社内/家族向け告知）

件名：重要：不正アクセス発生に伴うお願い
平素よりありがとうございます。現在、当方の Microsoft 365 テナントに対し不正アクセスが確認されました。
・当面、当方を名乗るメール/DM/電話での金銭・個人情報の依頼に応じないでください。
・やり取りが必要な場合は、こちらからお伝えする「合言葉」の確認後にお願いします。
・万一、不審なメッセージを受け取った場合は、このメールへの返信または電話でお知らせください。
皆さまにご迷惑をおかけし誠に申し訳ありません。復旧と再発防止に全力で取り組んでいます。

付録：ポータル早見表（管理者向け）

ポータル主な用途緊急時の操作例
Microsoft 365 管理センターサポート起票、ユーザー管理アカウント侵害でエスカレーション
Entra 管理センターロール、条件付きアクセス、サインイン/監査ログ不正管理者の除去、CA 一時強化
Exchange 管理センター受信トレイルール、転送、権限自動転送の全面停止、委任権限の棚卸し
Purview コンプライアンスDLP/eDiscovery/監査流出の確証取得、証拠保全

付録：セキュリティ ポリシーのミニひな形

1) 特権アクセスは PIM により JIT 付与、最大4時間、自動失効、理由必須
2) グローバル管理者は 2～3 名、通常業務は下位ロールで実施
3) ブレークグラスは2アカウント、年1回の有効性確認、保管は物理分離
4) 条件付きアクセス：レガシー認証禁止、国/場所ベースのブロック、準拠デバイス必須
5) 認証：パスワードレス優先、SMS/音声は例外
6) 共有：既定は社内限定、外部は期限付きリンクと責任者明記
7) ログ：監査/サインインログは90日以上保持し、月次でレビュー
8) 教育：四半期に1回のフィッシング演習と復旧訓練

本記事をベースに、「最初の60分」→「1日」→「1週間」のリズムで、緊急対応・証拠保全・恒久対策を粛々と進めてください。最も重要なのは、常時の特権剥奪と人の習慣のアップデートです。これこそがテナントを人質に取る類の犯罪から家族と自分を守る最短経路です。

Microsoft 365
Microsoft 365 MFA Azure AD Microsoft Purview Entra ID グローバル管理者 PIM アカウント乗っ取り

この記事を書いた人

佐藤健司のアバター 佐藤健司

実務の現場で詰まりがちなポイントを地図にするITブログ「IT trip」を運営。Windows／Office（Teams・Excel）からSQL、サーバ運用、ガジェットまで、再現性のある手順と“なぜそうなるか”を丁寧に解説します。読んだらすぐ試せること、そして迷った人の次の一歩が見えることを大切にしています。

関連記事

コメント

コメントする

目次