「アクセスを許可」を押しただけで乗っ取られる。同意攻撃の確認ポイント

パスワードを盗まれていないのに、メールが勝手に送られる

2026年10月、IPA（情報処理推進機構）が公表した相談事例の中に、ある社員のMicrosoftアカウントから大量のメールが送信されていたというケースがあったと報じられています。そのアカウントは、見覚えのない「アプリ」に対してアクセスを許可していました。

これは「OAuth同意攻撃（同意フィッシング）」と呼ばれる手口です。偽のログイン画面でパスワードを盗むのではなく、本物のMicrosoftやGoogleの画面で「このアプリにアクセスを許可しますか？」と表示させ、許可ボタンを押させます。

入口は、例えば「書類を共有しました」「請求書をご確認ください」といった、ふだんの業務メールに似たものです。リンクを開くと本物のサインイン画面が出て、そのまま許可画面に進むため、怪しいと感じるきっかけがほとんどありません。

許可されたアプリは、その範囲でメールの送受信やファイルの閲覧ができるようになります。パスワードは盗まれていないため、気づきにくいのが特徴です。

なぜ「許可」だけで危ないのか

カレンダー連携や名刺管理、AIツールなど、業務で使うアプリをMicrosoft 365やGoogleアカウントに連携させる場面は増えています。そのたびに同じような許可画面が出るため、中身を読まずに押す習慣がついてしまいがちです。

• 画面自体は本物なので、URLを確認しても見破れない
• パスワードを入力していなくても、許可だけで権限が渡る
• パスワードを変えても、アプリへの許可は残ることがある

多要素認証を入れていても、本人が許可してしまえば防げません。「おかしい」と思ったら、パスワード変更とあわせてアプリの許可を取り消すことが必要です。

今日できる確認

1. 見覚えのない連携アプリがないか

Googleアカウントは「セキュリティ」のページから、連携しているサードパーティ製アプリの一覧を確認できます。Microsoft 365は、管理者がMicrosoft Entra管理センターの「エンタープライズ アプリケーション」で、社内で許可されているアプリを確認できます。

名前に心当たりがない、使った覚えがないのにメールの送信権限を持っている、といったものは要注意です。

2. 転送設定と受信ルール

乗っ取りの後には、メールを外部へ自動転送する設定や、特定のメールを自動で削除・移動するルールが作られることがあります。取引先からの問い合わせを本人に見せないためです。設定画面で、作った覚えのないものがないか見てください。

3. 送信済みメールと取引先からの連絡

送信済みフォルダに覚えのないメールがないか、取引先から「変なメールが届いた」と言われていないかを確認します。送信済みから消されている場合もあるため、外からの指摘は重要な手がかりです。

4. 社員が自由に許可を出せる設定になっていないか

Microsoft 365では、社員がどのアプリにでも同意できる設定のままのことがあります。Microsoftは、同意できる範囲を確認済みの発行元のアプリに限ることを推奨しています。それ以外は管理者が承認する仕組み（管理者の同意ワークフロー）も用意されています。

なお、設定を変えても、すでに出した許可は自動では消えません。一覧の確認とセットで行うのがおすすめです。

社内で伝えておきたいこと

1. メールのリンクから開いた画面で「アクセスを許可」が出たら、押す前に止まる
2. 新しいアプリを業務アカウントにつなぐときは、事前に担当者へ相談する
3. 押してしまったら、隠さずすぐに報告する（早いほど被害は小さい）

被害が疑われる場合は、アプリの許可の取り消し、パスワード変更、転送設定・ルールの削除を行ったうえで、ログを確認して何が見られた・送られたかを調べます。ログの保存期間には限りがあるため、調査は早めに始めることが大切です。

判断に迷ったら

「この連携アプリは問題ないのか」「同意の設定をどう変えればよいか」など、判断に迷うときはご相談ください。IT顧問として、Microsoft 365やGoogle Workspaceの設定見直しから、万一のときの初動対応まで一緒に進めます。単発の確認作業はスポット作業でも承ります。

※ 本記事は2026年10月時点の情報にもとづいています。各サービスの画面名や設定項目は変更されることがあります。