何が起きたか
Microsoft Threat Intelligenceは2026年7月31日、CaptiveCrunchと呼ぶ攻撃活動を公表した。実行者はStorm-2945で、Microsoftはこれをロシア系の攻撃者Midnight Blizzardの作戦サブクラスタと評価している。Midnight Blizzardは米英両政府がロシア対外情報庁（SVR）に帰属させた攻撃者で、政府機関、外交関連組織、NGO、IT事業者を主な標的としてきた。
Microsoftの観測では、2026年5月上旬以降、Storm-2945はキャプティブポータル（Wi-Fi接続時に表示されるサインイン画面）を備えたネットワークのDNSおよびHTTP通信を操作し、利用者の通信を攻撃者側の基盤へ迂回させている。侵害が確認されたのは複数の国の宿泊関連組織のWi-Fiが中心だ。ReliaQuestは7月23日の報告で、ホテルに加えて会議施設などの共用会場でも同種の活動を確認し、狙いは出張中の企業利用者のアカウントだと評価している。
攻撃者は中間者（AitM）の位置を二通りに使う。一つは、Microsoftのオンラインサービスに似せたドメインを用いたフィッシングで、Microsoft Entra IDのデバイスコード認証フローを悪用する。もう一つがマルウェア配布である。ブラウザが自動的に行う接続確認への応答として、ブラウザやOSの更新プログラムに見せかけたファイルを配る。利用者自身に操作を促すClickFix型の画面も併用され、Android向けAPKの導入手順を含む例も確認されている。
投下されるのは、Go言語製のWindows向けRAT「CornFlake」と、PowerShell製の情報窃取ツール「ChocoShell」だ。CornFlakeは偽の更新画面を表示する裏で自身を複製し、サービス登録やタスク、Runキーなど複数の常駐手段を仕込む。キー入力、画面、音声、カメラ映像、ブラウザの保存パスワードやセッションクッキーまで収集する。ChocoShellはメモリ上で動作し、Microsoft 365のSSOトークンやWi-Fi資格情報を抜き取る。
「might not be limited to isolated compromises」— Microsoft Security Blog
なぜ重要か
この攻撃の新しさは、標的が組織のネットワークではなく個人の旅程に紐づいている点にある。企業の境界防御もプロキシも、社給端末がホテルのWi-Fiに接続した瞬間には効かない。攻撃者は、その最も無防備な数分間を狙って更新の通知を差し込む。しかも通信の入り口そのものを握っているため、利用者から見れば「ホテルのネットワークが更新を促してきた」という自然な流れになる。
Microsoftは、侵害されたネットワークで使われている機器や管理システムに共通点があると述べ、この活動が個別施設の単発の侵害にとどまらない可能性に触れている（Microsoft Security Blog：「might not be limited to isolated compromises」）。仮に共用のポータル基盤側が起点であれば、宿泊事業者ごとの対策を待つ発想は成り立たない。利用者側の端末運用でしか塞げない、という前提で設計を組み直す必要がある。
もう一つの論点は、狙われる資産の性質だ。デバイスコード認証フローの悪用は、多要素認証を突破するというより、正規の認証結果であるトークンとデバイス登録を奪う手口である。端末のマルウェア感染がそのままクラウド側の長期的な情報収集に接続する。Midnight Blizzardの目的が一貫して諜報である以上、感染から発覚までの期間は長くなりがちだ。さらにMicrosoftは、この作戦の相当な部分でAIが利用されていると観測しており、フィッシング基盤やコードの量産速度が上がっている点も見落とせない。
R&Rの視点
日本企業の支援現場で繰り返し見るのは、海外出張の端末運用が情報システム部門ではなく総務・人事の出張規程側に置かれ、両者が接続していないという構図である。規程には「公衆Wi-Fiの利用は控える」と書いてあるものの、代替手段としてのeSIMやモバイルルーターが予算化されていないため、現場は結局ホテルのWi-Fiを使う。禁止事項を増やすのではなく、渡航者に配る回線を調達する話として経営層に持ち込むほうが通る。
もう一つの盲点は、持ち出し端末のEDR適用状況だ。海外現地法人の貸与機、役員が使うサブ端末、出張時だけ持ち出す予備PCは台帳から漏れがちで、標的となる層ほど例外扱いになっている例が見られる。今回狙われているのは組織ではなく人であり、経営層と技術者が最も高リスクにあたる。
Entra IDのデバイスコード認証フローを条件付きアクセスで絞る対応は有効だが、会議室機器や共有端末のサインインに使われている場合がある。遮断前に利用実態を確認しないと、対策そのものが差し戻される事態を招く。
実務者が今日やること
- 海外出張前の端末点検手順を定め、ブラウザとOSの更新は社内配信経由に限る運用へ切り替える
- Entra IDの監査ログでデバイスコード認証の利用実態を洗い出し、不要なら条件付きアクセスで絞る
- 持ち出し端末のEDR適用漏れと常時VPNの設定状況を、資産台帳と実機の両方で突き合わせる
- svchost32という名称のサービスや実行ファイルの有無を、全社端末に対してEDRで横断検索する
- 出張規程を総務・人事と共同で改訂し、ホテルWi-Fiの認証画面の扱いを渡航前説明に組み込む
