Microsoft 365の乗っ取りに気づいたら｜会社のメールを取り戻す公式の手順と、転送設定・ログの確認のしかた

01この記事でわかること（3行まとめ）

• まず止める。Microsoft は、調査が終わるまで乗っ取られたアカウントを無効にすることを強く勧めています。無効にできないなら、パスワードをリセットします。新しいパスワードは、メールで送ってはいけません。
• 犯人の「合鍵」を全部外す。ログイン中のセッションを取り消し、多要素認証（MFA）の登録、同意済みのアプリ、管理者の役割、転送設定と受信トレイのルールを順に確かめます。パスワードを変えただけでは、これらは残ります。
• 記録を見てから再開し、MFAで次を防ぐ。サインインログと監査ログで、いつ・どこから入られ、何をされたかを確かめます。送信を止められていたら解除し、全員に MFA を求める設定（セキュリティの既定値や条件付きアクセス）を入れます。

偽の請求書でお金を振り込んでしまった場合は、銀行への連絡が先です。送金してしまったときの記事を先に読んでください。

02そもそもMicrosoft 365の乗っ取りって何？（1分でわかる）

Microsoft 365 の乗っ取りは、犯人が社員の ID とパスワードなどを手に入れて、本人になりすましてサインインすることです。サインインに使うアカウントは「Microsoft Entra ID（旧 Azure AD）」で管理されています。Microsoft は、攻撃者がアカウントに入ると、そのアカウントのメールボックスだけでなく、SharePoint のフォルダーや OneDrive のファイルにも入れると説明しています。

たとえるなら、会社の合鍵を盗まれて、犯人が社員証を下げたまま社内を歩き回り、その社員の名前で手紙を出しているような状態です。鍵を替えるだけでは足りません。犯人が勝手に作った合鍵（別のスマホの登録やアプリの許可）や、郵便物をこっそり自分に回す設定（転送）も外す必要があります。

Microsoft は、攻撃者は乗っ取ったメールボックスで社内外にメールを送ることが多く、ビジネスメール詐欺（BEC）もその一つだとしています。この記事に出てくる言葉は、次の意味です。

乗っ取りの考え方は、用語集「アカウントの乗っ取り」と「多要素認証」にもまとめています。

03乗っ取りのサイン：Microsoftが挙げる症状

Microsoft Learn は、Microsoft 365 のメールボックスに関連するアカウントが乗っ取られているかもしれない症状として、次のものを挙げています。一つでも当てはまれば、次の節からの手順に進みます。

• メールボックスからメールを送れないようにブロックされている
• メールが見つからない、削除されているなど、身に覚えのない動きがある
• 知らないアドレスにメールを自動で転送するルールや、メールを「ノート」「迷惑メール」「RSS サブスクリプション」のフォルダーに移すルールがある
• 「送信済みアイテム」や「削除済みアイテム」に、怪しいメッセージが入っている（例：「ロンドンで足止めされている。お金を送って。」）
• アドレス帳（グローバル アドレス一覧）の連絡先の名前・電話番号・郵便番号などが書き換えられている
• パスワードの変更や、原因の分からないアカウントのロックが何度も起きる
• 外部へのメール転送が最近追加されている
• 偽の銀行の署名など、怪しいメールの署名が付いている

見つけた設定やメールは、消す前にスクリーンショットで残しておくと、あとで調べる手がかりになります。

実際に、大学の教職員のメールアカウントがフィッシングで乗っ取られ、迷惑メールの送信に使われた例も公表されています（日本大学の件）。偽のログイン画面にパスワードを入れてしまったのがきっかけなら、変なメールを開いてしまったときの記事も参考にしてください。

04最初にやること：アカウントを止めてパスワードを変える

1. 乗っ取られたアカウントを無効にする（サインインを止める）。Microsoft は、調査が終わるまで無効にしておくことを強く勧めています。
2. 無効にできないときは、パスワードをリセットする。新しいパスワードは、メール以外の方法で本人に渡します。
3. アプリ パスワードを消す。パスワードをリセットしても、アプリ パスワードは自動では取り消されません。

アカウントを無効にする（Microsoft Entra 管理センター）

Microsoft Learn「Microsoft Entra ID で緊急時にユーザー アクセスを取り消す」の手順です。管理者でないユーザーは「ユーザー管理者」、管理者のアカウントは「特権認証管理者」の役割を持つアカウントで操作します。

1. Microsoft Entra 管理センター（entra.microsoft.com）にサインインします。
2. 「Entra ID」→「ユーザー」→「すべてのユーザー」を開き、乗っ取られたユーザーを選びます。
3. 「アカウントの状態」の「編集」を選びます。
4. 「プロパティ」で「アカウントを有効にする」のチェックを外し、「保存」を選びます。
5. ユーザーの「概要」ページで「セッションの取り消し」を選びます（次の節で説明します）。

Microsoft 365 管理センターでも、「ユーザー」→「アクティブなユーザー」でユーザーを選び、「サインインのブロック」→「このユーザーのサインインをブロックする」→「変更の保存」で止められます。ただし効くまで最大24時間かかることがあるため、Microsoft はすぐ止めたいならパスワードをリセットするよう書いています。

パスワードをリセットする（Microsoft 365 管理センター）

「パスワード管理者」などの役割を持つアカウントで操作します。

1. Microsoft 365 管理センターで「ユーザー」→「アクティブなユーザー」を開きます。
2. ユーザーを選び、「パスワードのリセット」を選びます。
3. 画面の指示に従い、新しいパスワードを自動で作るか自分で決め、「パスワードのリセット」を選びます。
4. 表示されたアカウントの情報は、PDF に印刷して安全な場所に保存し、安全な方法で本人に渡します。

新しいパスワードを、乗っ取られたメールアドレスに送ってはいけません。Microsoft は「この時点で攻撃者がメールボックスにアクセスできる可能性があるため、新しいパスワードを電子メールでユーザーに送信しないで」と書いています。管理センターからパスワードをメールで送る機能自体も、2024年8月30日に削除されました。直接会って渡す、電話で伝えるなど、メール以外の方法を使ってください。

新しいパスワードは、大文字・小文字・数字・記号を使い、直近5つのパスワードは使い回さないよう Microsoft は書いています。社内の Active Directory と同期しているアカウントなら、Active Directory 側で2回リセットします。

アプリ パスワードを消す

古いメールソフトなどのために「アプリ パスワード」を作っていた場合、パスワードをリセットしても、アプリ パスワードは自動で取り消されません。Microsoft Entra 管理センターの「Entra ID」→「ユーザー」→「多要素認証」から対象のユーザーを選び、「ユーザー設定の管理」で「選択したユーザーによって生成されたすべての既存のアプリ パスワードを削除する」にチェックを入れて「保存」します。必要なら、本人に新しく作り直してもらいます。

05ログイン中の端末を追い出す：セッションの取り消し

パスワードを変えても、犯人のパソコンやスマホが「サインインしたままの状態」なら、しばらく使えてしまいます。Microsoft は、アクティブなセッションを取り消すことで、盗まれた資格情報による今のアクセスをすぐに無効にでき、犯人がより重要なデータに触れたり、勝手な操作をしたりするのを防げると説明しています。

画面での手順

• Microsoft Entra 管理センター：「Entra ID」→「ユーザー」でユーザーを選び、「概要」ページの「セッションの取り消し」を選びます。または、ユーザーの「認証方法」を開き、上部の「セッションを取り消す」を選びます。更新トークンが無効になり、アプリやセッションで認証のやり直しが求められます。
• Microsoft 365 管理センター：「ユーザー」→「アクティブなユーザー」でユーザーの名前を選び、「アカウント」タブの「すべてのセッションからサインアウト」を選びます。

すぐには切れないことがある

Microsoft 365 管理センターの説明では、サインアウトを求められるのは「1 時間以内、またはユーザーが今の Microsoft 365 のページを離れたとき」です。アクセス トークン（短い期間だけ使える通行証）は既定で1時間有効なので、残り時間しだいでタイミングが変わります。Outlook on the web を開いたままの場合は、すぐにはサインアウトされないこともあるとしています。

だからアカウントの無効化（またはパスワードのリセット）とセッションの取り消しを両方やります。無効にしておけば、期限が切れたあとに新しい通行証は出ません。

06犯人が残した「合鍵」を確認：MFAの登録とアプリ

• MFA に登録された端末・方法：犯人のスマホや電話番号が追加されていないか
• 同意済みのアプリ：メールやファイルを読める権限を、知らないアプリに与えていないか

犯人が「あとでまた入るための仕掛け」を残していることがあるため、Microsoft の手順はこの2つの確認を続けています。

MFA の登録を確認して、知らない方法を消す

Microsoft は、攻撃者が追加した怪しいデバイスを見つけて削除し、身に覚えのない MFA の方法が消えていることを確かめるよう案内しています。「認証管理者」以上の役割で操作します。

1. Microsoft Entra 管理センターで「Entra ID」→「ユーザー」を開き、ユーザーを選びます。
2. 「認証方法」を選び、登録されている電話番号や Microsoft Authenticator アプリなどの一覧を本人と一緒に確かめます。
3. 覚えのないものがあれば削除します。全部やり直したいときは、上部の「MFA の再登録」を選びます。ハードウェア OATH トークンが無効になり、電話番号、Microsoft Authenticator アプリ、ソフトウェア OATH トークンが外され、次のサインインで本人が登録し直します。

再登録は、犯人に先を越されないよう、アカウントを有効に戻す直前に本人のスマホで一緒に進めると安全です。

同意済みのアプリを確認する

アプリに「メールを読んでよい」「ファイルを見てよい」と与えた許可（同意）は、パスワードとは別の仕組みです。Microsoft は、ユーザーが同意したアプリの一覧を確かめ、許可すべきでないアプリを削除・取り消すよう案内しています。「クラウド アプリケーション管理者」以上の役割で操作します。

1. Microsoft Entra 管理センターで「Entra ID」→「エンタープライズ アプリケーション」→「すべてのアプリケーション」を開きます。
2. 心当たりのないアプリを選び、「アクセス許可」を選びます。
3. 組織全体への許可は「管理者の同意」タブ、特定のユーザーへの許可は「ユーザーの同意」タブで確かめます。

注意点があります。「管理者の同意」タブの許可は、画面の「…」から「権限の取り消し」で取り消せますが、「ユーザーの同意」タブの許可は、管理センターの画面では取り消せません。Microsoft は、Microsoft Graph や PowerShell を使う方法を案内しています。自社でできないときは、Microsoft 365 を導入した販売店や保守の会社に頼んでください。

07管理者ロールと転送設定・受信トレイのルールを確認

• 管理者の役割：乗っ取られたユーザーに、付けた覚えのない管理者の役割が付いていないか
• メールボックスの転送：社外のアドレスへの転送が設定されていないか
• 受信トレイのルール：メールを転送・移動・削除するルールが作られていないか

管理者の役割（ロール）

Microsoft は、ユーザーに割り当てられた管理ロールを確かめ、許可すべきでないものを外すよう案内しています。Microsoft Entra 管理センターで「Entra ID」→「ユーザー」からユーザーを選び、「割り当てられたロール」を開くと一覧が出ます。管理者のアカウントが乗っ取られていたなら、「ロールと管理者」の画面でほかのユーザーも確かめます。

メールボックスの転送

Microsoft 365 管理センターで「ユーザー」→「アクティブなユーザー」を開き、ユーザーの名前を選んで「メール」タブの「メール転送の管理」を開きます。「このメールボックスに送信されたすべてのメールを転送する」が設定されていて、転送先に覚えがなければ解除して「変更の保存」を選びます。この操作は「Exchange 管理者」の役割が必要です。

受信トレイのルール

受信トレイのルールは、本人の Outlook で確かめるのが手早い方法です。新しい Outlook for Windows や Outlook on the web では、「設定」（歯車のアイコン）→「メール」→「ルール」で一覧が出ます。覚えのないルールは「その他のアクション」（…）→「ルールの削除」で消します。特に、知らないアドレスに転送・リダイレクトするルールや、「ノート」「迷惑メール」「RSS サブスクリプション」に移すルールに注意してください。

Microsoft の手順では、「非表示のルール」も含めて確かめるよう書かれています。非表示のルールは Outlook の画面には出ないため、確かめるには Exchange Online の PowerShell が必要です。画面で何も見つからなくても不安が残るときは、保守の会社や専門の会社に確認を頼んでください。

そもそも外部への自動転送を止めておく

社外への自動転送は、送信スパム フィルター ポリシーの「自動転送ルール」で会社全体として管理できます。選べるのは「自動 – システム制御」（既定）、「オン – 転送が有効」、「オフ – 転送が無効」の3つです。Microsoft は、「自動 – システム制御」は組織によって動きが違うため、「オン」か「オフ」をはっきり選ぶよう勧めています。「オフ」にすると、社外へ転送しようとしたメールは「5.7.520 Access denied」という不達の通知で戻ります。業務で社外への自動転送が要らない会社は、「オフ」にしておくと、乗っ取られても転送で情報を抜かれにくくなります。

08どこから入られたか：サインインログと監査ログ

Microsoft は、ユーザーから異常の報告があったら徹底的に調べ、怪しい動きが始まった時点から、修復が終わるまでの監査ログを確かめるよう書いています。見る記録は主に3つです。

1. サインイン ログ（Microsoft Entra 管理センター）

「レポート閲覧者」以上の役割で、「Entra ID」→「監視 & 正常性」→「サインイン ログ」を開きます。乗っ取られたユーザーで絞り込み、Microsoft が挙げる次の項目を確かめます。

• IP アドレス
• サインインの場所
• サインインの時刻
• サインインの成功・失敗

本人がいない国からの成功などが、入られた時刻の手がかりです。

記録は長く残りません。Microsoft Learn「Microsoft Entra のデータ保持」によると、サインイン ログと監査ログ（Entra ID の変更の記録）の保存期間は、Microsoft Entra ID Free で7日、P1・P2 で30日です。期限が切れた記録はあとから取り戻せません。気づいたら、必要な期間の画面を保存するか、ダウンロードしておいてください。

2. 監査ログ（Microsoft Defender ポータル）

Microsoft 365 全体で、誰が何をしたか（メールの削除、ルールの作成、ファイルの閲覧など）は「統合監査ログ」に残ります。Microsoft Defender ポータル（security.microsoft.com）の「監査」から検索します。Microsoft Purview ポータルの監査ログ検索と同じものです。「組織の管理」「コンプライアンス管理」の役割グループ、または「コンプライアンス管理者」の役割が必要です。

Microsoft は、怪しい動きが起きる直前から始まる日付の範囲で絞り込み、最初の検索では特定の操作に絞らないよう勧めています。まず全体を見て、気になる時間帯を見つけてから細かく調べます。

3. メッセージ トレースと送信済みアイテム

気になる時間帯に送られたメールを、Defender ポータルの「メッセージ トレース」と「送信済みアイテム」で確かめます。送り先が、連絡すべき相手です。

読み方に自信がないときは、ログを保存したうえで事故対応の専門会社に相談してください。

09メールが送れなくなったとき：送信制限の解除

乗っ取られたアカウントから大量の迷惑メールが送られると、Microsoft 365 がそのユーザーのメール送信を自動で止めることがあります。Microsoft によると、受信はできますが、送ろうとすると「550 5.1.8 Access denied, bad outbound sender」というエラーの不達通知が戻ります。ユーザーは Defender ポータルの「制限付きエンティティ」に載ります。

Microsoft は、解除の前に必ず、ここまでの取り戻す手順を済ませるよう書いています。済んだら、「組織の管理」か「セキュリティ管理者」の役割グループなどで解除します。

1. Microsoft Defender ポータルで「メールとコラボレーション」→「レビュー」→「制限付きエンティティ」を開きます（security.microsoft.com/restrictedentities）。
2. 「エンティティ」が「メールボックス」になっている対象のユーザーにチェックを入れ、「ブロック解除」を選びます。
3. 「概要」で詳細と「推奨事項」を確かめ、「次へ」を選びます。
4. まだなら、表示されるリンクから MFA を有効にし、パスワードをリセットします。終わったら「送信」を選びます。
5. 確認の画面で、アカウントが守られていることを確かめたうえで「はい」を選びます。

Microsoft によると、ほとんどの場合は1時間以内、長くても24時間以内に制限が外れます。

Defender ポータルの「アラート ポリシー」にある既定のアラート「ユーザーがメールの送信を制限されている」の通知先（既定はグローバル管理者）も確かめておくと、次はすぐ気づけます。

無効にしていたアカウントは、パスワードをリセットしてから有効に戻します。

10社内・取引先・お客様への連絡

乗っ取られたアドレスからメールが出ていたら、受け取った人がだまされないよう知らせます。

• 社内：経営者と関係する部署に、乗っ取られたこと、届いたメールのリンクや添付を開かないことを伝えます。犯人は乗っ取ったアドレスから社内にも偽メールを送ることがあります。
• 取引先：送信済みアイテムやメッセージ トレースで分かった相手に、メール以外（電話など）でも連絡します。乗っ取られたアドレスからの「お詫び」だけでは、偽物と区別がつきません。振込先の変更などの連絡が出ていないかも確かめます。
• お金が動いていたら：自社か取引先がすでに振り込んでいたら、ビジネスメール詐欺の記事の手順で、すぐ銀行に連絡します。

メールボックスに、お客様や取引先の個人情報が入っていた場合も考えます。個人情報保護委員会は、不正の目的をもって行われたおそれがある行為による個人データの漏えい等（そのおそれを含む）を、委員会への報告と本人への通知が必要な場合の一つに挙げています。漏れたかどうかの判断や報告の進め方は、会社の情報漏えいの記事と用語集「個人情報保護委員会」にまとめています。

11再発防止の対策：MFA・セキュリティの既定値・条件付きアクセス

• 全員に MFA を使ってもらう。Microsoft は、MFA はアカウントの乗っ取りを効果的に防ぎ、管理者の権限を持つアカウントには欠かせないとしています。
• 「セキュリティの既定値」を有効にする。追加の費用なしで、MFA の登録や古い認証方式のブロックをまとめて入れられます。
• 細かく決めたいなら「条件付きアクセス」。Microsoft Entra ID P1 以上が必要です。

セキュリティの既定値

Microsoft は、一般的な ID の攻撃の 99.9% 以上は、MFA を使い、古い認証方式（レガシ認証）をブロックすることで止められるとしています。そのための基本の設定をまとめたものが「セキュリティの既定値」です。有効にすると、次のことが求められます。

• すべてのユーザーが MFA に登録する（以前あった14日間の猶予は、2024年7月29日以降なくなりました）
• グローバル管理者や Exchange 管理者など、決められた管理者の役割は、サインインのたびに MFA を行う
• 必要に応じて、ユーザーにも MFA を求める
• IMAP・SMTP・POP3 などの古いメールの方式や、Office 2010 のような古いソフトからのサインインをブロックする

2019年10月22日以降に作られたテナント（会社ごとの Microsoft 365 の環境）では、有効になっている場合があります。確かめるには、「条件付きアクセス管理者」以上の役割で Microsoft Entra 管理センターにサインインし、「Entra ID」→「概要」→「プロパティ」→「セキュリティの既定値群の管理」を開きます。「有効」になっていなければ「有効」にして「保存」します。

有効にする前に一つ確かめてください。複合機やシステムが SMTP などの古い方式でメールを送っていると、ブロックされて送れなくなることがあります。Microsoft も、有効にする前に、古い認証の方式を使っていないか確認するよう警告しています。保守の会社に聞いてから切り替えると安心です。

条件付きアクセス

条件付きアクセスは、「この条件なら、これを求める」と決められる仕組みです。たとえば「Microsoft 365 にサインインするなら MFA を求める」「特定の国からのサインインは止める」といった設定ができます。Microsoft Entra ID P1 のライセンスが必要で、Microsoft 365 Business Premium にも含まれています。セキュリティの既定値と同時には使えないため、切り替えるときは、Microsoft のテンプレート（「すべてのユーザーに多要素認証を要求する」など）で同じ守りを作り直します。

メールの守りを厚くするサービスは、メールセキュリティ・訓練やゼロトラスト・SASEで比べられます。

12専任の担当がいない会社の進め方

管理者が社長や総務の1人だけ、という会社は、次のように分けると進めやすくなります。

• 自分でできること：サインインのブロック、パスワードのリセット、すべてのセッションからのサインアウト、メール転送の確認、Outlook のルールの確認。どれも Microsoft 365 管理センターと Outlook の画面でできます。
• 頼んだほうがいいこと：ユーザーの同意の取り消し、非表示のルールの確認、ログの読み解き、ほかのアカウントへの広がりの調査。Microsoft 365 を契約した販売店や、パソコンの保守の会社に連絡してください。
• 管理者のアカウントが乗っ取られた、または管理画面に入れない：自社だけで取り戻すのは難しいので、契約先の販売店や事故対応の専門会社に早めに相談します。

平時の備えとして、Microsoft は、管理の作業用と普段の仕事用でアカウントを分けること、緊急時だけに使う管理者アカウントを2つ以上用意しておくことを勧めています。中小企業向けにまとめて相談できる窓口としては、サイバーセキュリティお助け隊サービスもあります。

13困ったときの相談先

14よくある質問