業者のアプリ経由でM365に侵入｜つないだ先を数える

Microsoft 365に、外のアプリを経由して入り込む攻撃が公表されました。狙われたのは、メールやファイルを丸ごと預かるバックアップ用のアプリです。

社員のパスワードが盗まれたわけではありません。会社が「このアプリは入ってよい」と許可していた、その許可がそのまま使われました。IT業者に保守を任せている会社ほど、こうした許可が自社の知らないところで増えています。

今日やること Microsoft 365を使っている会社は、外部のアプリが何本つながっているかを確かめてください。自分で見られなければ、保守を頼んでいるIT業者に「うちのMicrosoft 365につながっている外部アプリの一覧をください」と頼みます。 何もしなくていい人 Microsoft 365を使っていない会社です。Google Workspaceなど別のサービスでも外部アプリをつなぐ仕組みは同じなので、同じ確認は役に立ちます。

何が起きたか

Microsoftは2026年10月21日、セキュリティブログで次のように公表しました。

• 中国の国家と結びつく攻撃グループが、2026年9月から活動していた
• IT業者向けのツールを作るConnectWiseのクラウドアプリ（Cloud Backupなど）の身元を乗っ取り、そのアプリの資格情報で、利用している会社のMicrosoft 365に入り込んだ
• 攻撃側は、侵入の調査から実行までをAIで自動化する道具「ARTEX」を使っていた。2,250を超える組織の環境にサインインを試みている
• 大半は失敗したものの、狙われてから管理者の権限を握るまで3時間かからなかった例が複数あった
• Microsoft自身の製品の欠陥によるものではない、としている

中小企業にとって何が変わるか

パスワードもログインの確認も通らない入口がある

多くの会社は、乗っ取り対策として「パスワードを強くする」「スマホでログインを確認する」を進めてきました。どちらも、人がログインする場面を守る仕組みです。

今回使われたのは、人ではなくアプリとしての出入りです。Microsoftのブログは、攻撃側が人のサインインを必要とせずに動いていたと書いています。アプリに渡した許可は、社員のパスワードとは別に生きています。

つないだアプリは「合鍵」になる

バックアップ用のアプリは、仕事の性質上、全員のメールやファイルを読める広い許可を持っています。便利な反面、そのアプリの鍵が盗まれれば、会社の中を広く見られる合鍵になります。

中小企業では、こうしたアプリを入れたのが社内の誰かではなく、保守を頼んでいるIT業者であることがよくあります。ツールの名前を知らないまま、許可だけが何年も残っている。今回の件で問われているのは、まさにその状態です。

当てはまるかどうかを分ける

よくある誤解：「業者に任せているから大丈夫」

保守を任せることと、何がつながっているかを知らないことは別の話です。業者が入れたアプリでも、許可を出しているのは自社の環境です。

業者を疑えという話ではありません。一覧を1枚もらっておけば、今回のような公表があったときに「うちは関係あるか」をその日のうちに確かめられます。一覧が無いと、確かめる手がかりがありません。

いま何をすべきか

1. つながっている外部アプリを数える。Microsoft 365の管理画面（Microsoft Entra管理センターの「エンタープライズ アプリケーション」）で見られます。分からなければIT業者に一覧を頼みます
2. 使っていないものに印をつける。誰も名前を説明できないアプリは、業者に確認したうえで外します
3. ConnectWiseの名前があれば業者に連絡する。Microsoftは、該当するアプリを止め、消す前に記録を残すよう勧めています。自社で慌てて消さず、業者と一緒に進めます

AIで攻撃が速くなるほど、「気づいたら直す」は間に合わなくなります。入口の数を先に減らしておくほうが、確実に効きます。ログインの守り方はAIで攻撃が速くなる｜先に替えるのはログインの仕方にまとめています。

関連するもっと詳しい話

つながっているアプリの一覧は、社内ツールの台帳づくりと同じ作業です。社内ツールが乱立したときの片づけ方｜数より置き場所を決めるで、ツールごとに「何を置く場所か」「誰が管理しているか」を1行ずつ書く台帳の作り方を説明しています。外部アプリにも、そのまま使えます。

一覧を作ると、使っていないツールが必ず出てきます。ツールが定着しない｜直すか捨てるかの決め方に、やめると決めたときの手順を書きました。解約より先にデータを出す、という順番は、外部アプリを外すときも同じです。

Microsoft 365の外部アプリの棚卸しや、IT業者とのやり取りで迷ったら、お問い合わせからご相談ください。