SecurityHeroblog
セキュリティの基本19閲覧

FBI警告 — パスワードは渡っていないのにメールボックスが開かれる

リンクを押したら本物のGoogleログイン画面が表示され、ログインした後に出てきた青い「許可」ボタンを一度押しました。FBI IC3が9月1日に警告した手口です。パスワードは攻撃者に渡らないのに、メールとファイルは漏れ続けます。

家の玄関のドアロックを思い浮かべてみてください。暗証番号を一つだけ使う家もありますが、最近のドアロックは番号を複数登録できます。掃除をしてくださる方にお客様用の番号を一つ作ってあげて、両親にも一つ渡して。

ここで重要なのはこれです。お客様用の番号を作ってあげたのは、盗まれたのではありません。 自分で登録したのです。そして後から自分の番号を変えても、登録しておいたお客様用の番号はそのまま生きています。消すにはドアロックを開けて、登録された番号の一覧からその番号を直接削除しなければなりません。

今日の話は、アカウントで同じことが起きるという話です。

何が起きているのか — 画面に出るのは青いボタン一つ

事実 米国FBIのインターネット犯罪苦情センター（IC3）が2026年9月1日に勧告を出しました。攻撃者が被害者にアカウントへのアクセス権限を自ら承認させてアカウントを乗っ取っている、という内容です。

事実 順序はこうです。メッセンジャーでリンクが一つ届きます。「資料を確認してほしい」「本人確認だけしてほしい」といった言葉と一緒に。ファイル共有サービスや本人確認サービスのように見せかけられています。リンクを押すと、本物のMicrosoft・Googleのログインページに移動します。偽の画面ではありません。アドレスバーも本物です。

事実 ログインを終えると、ウィンドウがもう一つ出ます。「○○文書ストレージがあなたのメールを読み書きすることを許可しますか？」といった文言と青いボタンです。ここで許可を押すと、攻撃者のアプリが承認された範囲の分だけメールとファイルにアクセスし続けます。ところがパスワードは攻撃者に渡りません。

推定 ドアロックに置き換えるとこうです。誰かが自分の番号を突き止めたのではありません。自分がお客様用の番号をもう一つ登録してあげたのです。 ドアの前で「番号を一つ新しく入れてもいいですか？」と聞かれ、自分が確認を押したのです。

なぜ通用するのか — 疑う余地を作らない

フィッシングというと、普通はこういうものを思い浮かべます。アドレスがおかしい、画面がどこか野暮ったい、日本語が不自然だ。私たちが学んできた確認方法は、すべて**「この画面は本物か」**を問うものです。

事実 ところがこの手口では、ログイン画面が本物です。パスワードも本物の会社のサーバーに入力されます。だからパスワードが違うというエラーも、見慣れない場所からログインされたという警告メールも出ません。私たちが知っている確認方法が一つも引っかからない場所で起きるのです。

推定 攻撃者が狙ったのは扉をこじ開ける技術ではなく、扉の持ち主の確認ボタンです。ドアロックもお客様用の番号を登録するときに盗みを働きはしません。持ち主が押してくれるのを待つだけです。

推定 だから気づくのが難しいのです。確認できる場所は事実上たった一箇所です。アカウントのセキュリティ設定にある**「自分のアカウントに連携されたアプリ」の一覧**。ドアロックの登録された番号の一覧にあたる場所です。自分がインストールした覚えのない名前がそこに入っていたら、それが今、自分のメールを読んでいるのです。

パスワードを変えれば終わるのか — ここは注意して読んでください

推定 この部分は確認された度合いが違います。パスワードと多要素認証（携帯電話の認証番号のように、パスワード以外にもう一段階確認する手続き）の両方を回避し、パスワードを変えてもアクセスが切れないので、アカウント設定でそのアプリの権限を直接無効化しなければならない — この内容はセキュリティメディアのHelp Net Securityが報じたものです。FBI勧告の原文では同じ文を確認できませんでした。だから私たちはこれを「確認された事実」ではなく**「報道された内容」**として書きます。

推定 ただし、構造だけを見ても理解できる話ではあります。自分のドアロックの番号を変えたからといって、すでに登録しておいたお客様用の番号が消えるわけではないのですから。番号の一覧から消して初めて消えます。

事実 活動が2025年末から続いているという内容も、FBIが明らかにしたものとして報道されました。これも記事に載っていた部分です。

規模はどの程度なのか — 数字がありません

事実 ここで正直に言わなければならないことがあります。勧告には被害者数も、被害金額もありません。 だからこの記事には規模を示す数字が一つも出てきません。他所で見た数字を持ってきて貼り付ける代わりに、ないものはないと書くことにしました。

事実 代わりにFBIが教えてくれたのは標的です。今の標的は報道・学界・政治のような知られた人物、そしてその人の家族と知人です。攻撃者は政府関係者や記者、イベント主催者になりすまし、商用メッセンジャーアプリで話しかけます。

推定 「自分は有名ではないから関係ない」と読むと、半分だけ正しいです。標的と手口は別の話です。今狙われているのが誰なのかはFBIが述べましたが、この手口自体は、Google・Microsoftのアカウントを使う人であれば同じように通用する場所にあります。だからといって「今、誰もが大量に被害に遭っている」と言うのは誇張です。ブリーフにそのような根拠はありません。

今やること — 5分あればできます

怖がらせるために書いた記事ではありません。今日できることは二つだけで、どちらも難しくありません。

1. 登録された番号の一覧を開く。 GoogleアカウントとMicrosoftアカウントのセキュリティ設定で、**「サードパーティアプリ」または「連携されたアプリ」**の一覧を開いてください。記憶にないアプリ、インストールした覚えのない名前があれば、アクセス権限を削除すればいいのです。ドアロックから知らない番号を消すのと同じです。

2. リンクは別の経路で確認する。 知らない番号やアカウントから送られてきた資料のリンクは、送った人に電話のように別の経路で先に確認してください。そしてログインの後に権限リクエストのウィンドウが出たら — ここが本当の分かれ道です — リクエスト項目を一度読んで、許可ではなくキャンセルを押してください。FBIの勧告も同じことを言っています。知らない連絡はより疑い、送信者の身元を直接確認し、信頼するアプリにだけ権限を与えること。

推定 習慣を一つ変えるだけで済みます。ログイン画面は疑う方法をすでに学んだのですから、今度はログインの次に出る画面を一度読むのです。扉が開いた後に「番号をもう一つ登録しましょうか？」と聞いてくるウィンドウなのですから。

私たちが分からないこと

このブログは、分からないことは分からないと書きます。今回の件で確認されていないことです。

  • 被害者数と被害規模。 勧告に数値がありません。だからこの記事にもありません。
  • 攻撃主体。 FBIは背後の国家や組織を名指ししていません。私たちも推定しません。
  • なりすましに使われたメッセンジャーアプリの名前。 公開されていません。特定のアプリ名は挙げません。
  • 悪性アプリの名前と権限一覧の文言。 公開されていません。だから「この名前が見えたら危険だ」といった形の一覧をお渡しできません。
  • 国内事例。 日本の利用者の被害事例や、国内サービスのアカウントを狙った事例は確認されていません。
  • 標的の範囲。 FBIの説明は「知られた人物が中心」です。手口が通用する範囲と実際に狙われた対象は別の話であり、私たちはその二つを混ぜていません。

もう一つ。この記事で最も実用的に聞こえる文 — 「パスワードを変えても切れない」 — は、FBI勧告の原文ではなく報道から来たものです。上でも一度書きましたが、ここにもう一度書きます。

出典

一次出典から書きます。

FBI勧告の原文を直接開いて攻撃の手順・標的・勧告内容を確認し、Help Net Securityの記事と照合しました。両者の記述が食い違うところはありませんでした。ただしパスワード変更でアクセスが切れないという部分は原文の要約で確認できなかったため、報道内容として表示しました。他媒体の記事一件はアクセスが遮断されており照合できませんでした。

この記事は2026-09-08時点のブリーフで作成しました。私たちのハニーポット観測ではなく、公開された勧告と報道が材料であるため、タイムライン・MITRE・IOCブロックとマスキングIP・認証情報の引用は入れていません — そのような資料が私たちにないからです。ブリーフにない数値は書いておらず、確認と報道のみを段落単位で区別して表示しました。攻撃を再現できる手順やアドレスは掲載しません。