エグゼクティブサマリー
2026年4月以降、「Pink」という名称のDLS（データリークサイト）を運営し、O-UNC-066として追跡されている攻撃者（Palo Alto Networks Unit 42の報告では「CL-CRI-1147」）が、Microsoft 365顧客のパスキー登録プロセスを標的としたパネル管理型フィッシングキットを展開しています。
Oktaでは、この一連の活動が、食品・飲料、テクノロジー、ヘルスケア、自動車、建設、航空、多様な業界の企業組織を標的にしていることを確認しています。攻撃者の主な動機は、データ脅迫です。
攻撃者は、音声を利用したフィッシング（ビッシング）の手口の一環として、ドメイン名に「passkey」という単語を含めるドメインを登録します。その後、標的ユーザーに電話をかけ、新しいパスキーを登録する必要があると説得を試みます。
ユーザーは、Microsoftのパスキー登録プロセスを巧妙に模倣したフィッシングキットに誘導されます。標的のユーザーにMicrosoftでパスキーを登録していると思い込ませ、その間に攻撃者が標的ユーザーのMicrosoftアカウントに自身のパスキーを登録するように仕組まれているようです。
この口実（プリテキスト）は非常に絶妙なタイミングで使われています。2026年5月時点で、Microsoftの管理者は、サインイン時にユーザーへパスキー登録を促す、いわゆる「ナッジ」を行うパスキー登録キャンペーンを作成できるようになっています。しかも、特定の状況下では、これらのナッジがデフォルトで有効化されているのです。
攻撃者は、セキュリティ向上を目的としたこの善意の機能を、自らの目的を達成するために登録プロセスを悪用する口実として利用しています。
当社のフィッシングキット解析によると、このキットはOktaなどのサードパーティアイデンティティプロバイダー（IdP）へのフェデレーション処理を試みないことが判明しています。そのため、現時点ではMicrosoftアカウントの直接的な侵害は観測されていません。
直接的な影響は観測されていないものの、Oktaでは、認証器の登録とリカバリにフィッシング耐性を適用する方法についての推奨事項を、別のブログ記事にて公開しています。
脅威分析
Oktaが観測した脅威活動において、攻撃者は標的ごとにMicrosoft Entra IDのログインページを模倣したサブドメインを作成しています。これらのページは、各被害者組織の正規のブランディングを使用してカスタマイズされています。一般的なMicrosoftのスタイルシート（デザイン定義）はMicrosoftのコンテンツデリバリネットワーク（CDN）から読み込まれる一方で、各被害者組織のブランディング要素（ロゴや背景画像）は、特定の標的に対する設定の一部としてサブドメインごとにあらかじめ配置され、フィッシングキットのバックエンドから配信されます。
このキットは、資格情報、MFAトークン、セッショントークンを収集するフィッシングキットとして最も一般的である透過型AitM（Adversary-in-the-Middle：中間者攻撃）プロキシではありません。代わりに、運用者が制御するPHPパネル形式となっており、攻撃者は1秒周期のハートビートポーリングメカニズムを使って、ほぼリアルタイムで被害者を認証の各段階へと誘導していきます。運用者はこのキットを使用することで、セッション中に被害者ごとのMFA要件（TOTP、数値一致方式のプッシュ通知、SMS OTPなど）に合わせてユーザー画面を調整できます。この運用設計は、2025年11月に公開されたOktaのブログ記事「Phishing kits adapt to the script of callers（発信者のスクリプトに適応するフィッシングキット）」で解説されているビッシングの手法（トレードクラフト）と一致しています。電話をかける攻撃者は、標的ユーザーに表示されるフィッシングページや通知をリアルタイムで操作・調整できます。
攻撃者はこのキットを使用してユーザーアカウントを乗っ取り、ユーザーを騙して攻撃者が仕掛けたパスキーの登録を承認させる可能性があります。
Okta Threat Intelligenceは、このフィッシングキットから抽出したコードを使用して以下のフローを再現しました。これはMicrosoft Entraのパスキー登録プロセスをきわめて精密に模倣しています。
フィッシングキットの最初のページ（/gate）では、解析回避チェックが実行されている間、ページの読み込み用アイコンが表示されます。2番目のページ（/identify）ではユーザー名の入力が求められます。当社の分析時点では、このフィッシングキットはフェデレーション連携されたアイデンティティプロバイダーへのリダイレクトを行っていませんでした。
次のページ（/password）では、ユーザーにパスワードの入力を要求します。奪取された資格情報は、タイムスタンプおよびIDとともに、/backend.phpにある運用者パネルへPOSTリクエストで送信されます。
当社の推測では、フィッシングキットの運用者（電話をかけている攻撃者とは別の人物である可能性もあります）は、数秒以内に標的ユーザーの資格情報を取得し、対象テナントの正規のMicrosoftサインインページにそれを入力します。
その後、標的ユーザーにはローディング画面を含む処理中ページ（/processing）が表示され、フィッシングキットは運用者からの次の指示を待ちます。このわずかな遅延は、攻撃者が盗み出した資格情報を使ってユーザーの正規のMicrosoftアカウントへの認証を試み、どのMFAチャレンジが要求されているかを確認したうえで、ユーザーに表示させるフィッシングキットの次のページを選択するために必要であると考えられます。
ユーザーに表示させるフィッシングキットの次のページ。
- 運用者がSMS OTPによるチャレンジの実行を選択した場合（または実行を強制された場合）、ユーザーは/submit-otpというページに誘導されます。奪取されたOTPは、/backend.phpにある運用者パネルへとPOSTリクエストで送信されます。
- 運用者がTOTPによるチャレンジの実行を選択した場合（または実行を強制された場合）、ユーザーは/submit-authenticatorというページに誘導されます。奪取されたOTPは、/backend.phpにある運用者パネルへとPOSTリクエストで送信されます。
- 運用者がプッシュ通知MFAによるチャレンジの実行を選択した場合（または実行を強制された場合）、ユーザーは/approve-authenticatorというページに誘導され、運用者から提示された数値を自身の認証アプリに入力するよう指示されます。
攻撃のこの段階で、ユーザーは電話越しに騙され、攻撃者による自身のMicrosoft 365アカウントへのアクセスを承認してしまっています。
その後、パスキー設定というプリテキストに沿って、攻撃者はユーザーを/passkey/registerページへと誘導し、パスキーを作成するよう促します。
このフィッシングキットは、ユーザーがパスキー認証に不慣れであることに付け込むものと見られます。実際のパスキー登録処理では、ユーザーはシステムダイアログが表示され、デバイスにパスキーが登録されることを想定しています。このフィッシングキットのパスキーページは、パスキーを登録することなく、このプロセスを模倣しているようです。
/passkeyページでは、Microsoftのブランディングが施された画面が表示され、攻撃者が管理するBIP-39フレーズのリストから「リカバリキーを保存」するようユーザーに促します。これは、仮想通貨アプリなどで用いられる、暗記可能なシードフレーズを生成する際の手法に非常に良く似ています。
続いて表示される/passkey/checkページで、ユーザーはシードフレーズの最後の単語を検証するよう求められます。
当社の知る限り、BIP-39のシードフレーズがMicrosoft Entraやそのパスキー登録プロセスに直接適用できるケースは存在しません。すでにユーザーアカウントへの不正アクセスに成功している攻撃者は、本来のアカウント所有者からの入力を一切必要としないプロセスで、自身のリカバリコードを作成できます。
これらのパスキーをテーマにしたページは、フィッシングキットのオペレーターが巧妙な手口として利用できるものと思われます。攻撃者が正規のMicrosoftユーザーアカウントに自身のパスキーを登録する間、ユーザーを別のタスクに集中させておくための目くらましです。
/doneページは、パスキー登録が成功したことを通知します。パスキーの登録メカニズムを十分に理解していない無警戒なユーザーは、一見無意味なこれらのタスクを完了しただけで、「自分自身でMicrosoftにパスキーを登録できた」と思い込んでしまうおそれがあります。
運用者は、ユーザーに/doneページをプッシュするタイミングを選択できます。少なくともこれにより、フィッシング攻撃における当初のプリテキストを破綻させずに維持できます。通常、ユーザーがMicrosoftにパスキーを登録すると、侵害されたアカウントの所有者宛てに「新しいパスキーがアカウントに登録された」旨を知らせる正規のMicrosoft通知メールが届きます。実際の攻撃中、パスキーは攻撃者自身によってMicrosoftに直接登録されます。その際、攻撃者はそのパスキーに標的ユーザーが怪しまないような名前（ユーザーがフィッシングサイトで選択したシードフレーズを使用した名前など）を付けることができます。これに対し、標的ユーザーがフィッシングサイト上で体験したパスキー登録の手続きは、攻撃者による登録処理をユーザー自身のものと錯覚させるためだけに存在していると考えられます。
インフラストラクチャ
攻撃者が以下のドメイン配下に、標的組織ごとのサブドメインを作成している状況が観測されています。
- assignpasskey[.]com（2026-06-14、Internet Domain Service BS Corp.、DDoS-Guard）
- deploypasskey[.]com（2026年4月21日、Tucows、DDoS-Guard）
- passkeydeploy[.]com（2026-04-23、Internet Domain Service BS Corp、DDoS-Guard）
- passkeyadd[.]com（2026-05-08、Tucows、DDoS-Guard）
- setpasskey[.]com（2026-05-23、IQWeb FZ-LLC）
たとえば「exampleentity」という組織を標的としたキャンペーンの場合、サブドメインは以下のようになります。
exampleentity[.]setpasskey[.]com
Okta Threat Intelligenceが観測したフィッシングインフラは、DDoS-Guard（AS57724、ロシア）およびIQWeb FZ-LLC（AS59692、米国）でホストされていました。
影響
2026年4月以降、O-UNC-066と関連のある攻撃者が「Pink」という名称のデータリークサイト（Palo Alto Networks Unit 42の報告では「CL-CRI-1147」）を運営しています。
推奨事項
今回の一連の攻撃アクティビティにおいてOktaになりすます挙動は観測されていないものの、類似のキャンペーンでは音声を使用したソーシャルエンジニアリング（ビッシング）と運用者が制御するフィッシングキットが組み合わされています。
公開ブログ記事（一般公開）
緊急速報（Oktaをご利用のお客様限定）
脅威に関するアドバイザリ（Oktaをご利用のお客様限定）
以下の推奨事項は、Oktaのお客様の防御対策に特化したものです。
ATT&CK
|
戦術
|
防御策・推奨事項
|
T1566
|
フィッシング
|
Okta FastPass、パスキー、スマートカードなどの強力な認証システムにユーザーを登録し、ポリシーでフィッシング耐性を強制する。
ヘルプデスク担当者がユーザーに連絡する際の本人確認方法を確立・周知し、社内に浸透・定着させる。
|
T1078
|
フィッシング
|
組織がサービスを提供していない地域からのリクエストを拒否する。Oktaのネットワークゾーン機能を使用することで、管理者は地理的位置（国）、ASN、IP、その他の基準に基づいてOktaで保護されたアプリケーションへのアクセスを拒否するポリシーを設定できます。
|
T1078
|
有効なアカウント
|
Oktaの認証ポリシーを使用して、設定可能な一連の前提条件に基づきユーザーアカウントへのアクセスを制限する。エンドポイント管理ツールによって管理され、エンドポイントセキュリティツールで保護されているデバイスのみに機密性の高いアプリケーションへのアクセスを制限することを推奨します。 |
T1078
|
有効なアカウント
|
エンドユーザー通知機能を活用し、認証要素のライフサイクルイベントが発生するたびにユーザーへ通知する。
|
T1098
|
アカウント操作（デバイス登録）
|
ネットワークコンテキスト、デバイスの管理状態、登録済み認証要素に基づいて認証要素の追加や変更を制限する「Okta Account Management Policy」を適用する。 具体的なガイダンスについては、以下のブログ記事をご参照ください。 |
