アカウント乗っ取り（ATO）とは

アカウント乗っ取り（ATO）とは

アカウント乗っ取り（ATO）は、攻撃者が、メール受信トレイ、クラウドサービス、管理ポータルといったユーザーのオンラインアカウントに、認可されていないアクセスを得たときに発生します。

いったん内部に侵入すると、攻撃者は機密性の高いメッセージを読んだり、被害者になりすましてメールを送信したり、アカウント設定を変更したり、そのアカウントを踏み台にして他のシステムへ横展開したりできます。メールの文脈では、乗っ取られたメールボックスが、信ぴょう性の高いフィッシングの送信、多要素認証の回避、認証情報や金融データの収集に悪用されうるため、ATO は特に大きな被害をもたらします。

アカウント乗っ取りが起こる仕組み

攻撃者はアカウントを乗っ取るために多くの手口を用い、検知を回避するよう設計されたキャンペーンでそれらを組み合わせることがよくあります。一般的な手法には、クレデンシャルスタッフィング、フィッシング、ソーシャルエンジニアリング、パスワードの使い回しの悪用、脆弱または露出した API の悪用などがあります。

典型的なシナリオは次のようなものです。ある侵害で盗まれた認証情報が企業のメールログインで再利用される、あるいは標的型のフィッシングメッセージによって従業員が偽のログインページに認証情報を入力させられます。アクセスを得た攻撃者は、転送ルールを設定したり、署名を改ざんしたり、被害者になりすまして信頼できる連絡先へメッセージを送信したりして、詐欺が成功する可能性を高めます。

メールセキュリティと到達性への影響

ATO はセキュリティと信頼の両方を損ないます。乗っ取られたアカウントは、ビジネスメール詐欺、請求書詐欺、内部偵察に頻繁に利用されます。メッセージが正規の認証済みメールボックスから発信されるため、コンテンツフィルタを回避することが多く、SPF や DKIM のチェックに合格することもあり、DMARC が最後の防衛線となります。

その結果として、レピュテーションの毀損、金銭的損失、規制上のリスク、到達性の低下などが生じます。ATO を起点とする悪用が続くと、メールボックスプロバイダーがドメインをスロットリングまたはブロックし、正規のコミュニケーションに支障をきたすことがあります。直接的な被害と長期的なブランドへの影響の両方を抑えるには、ATO を早期に検出することが不可欠です。

アカウント乗っ取りとDMARCeye

DMARCeye は、認証と送信のパターンを可視化することで、組織がアカウント乗っ取りを検出し調査するのを支援します。DMARC 集約レポートは、想定外の送信元、送信量の急増、ATO によく伴う新たな転送動作といった異常を明らかにします。

DMARCeye は、DMARC、SPF、DKIM の結果に加えて、ASN や IP 履歴といったメタデータを組み合わせることで、迅速な対応のために疑わしい活動を浮き彫りにします。これにより、手作業でのログ確認への依存が減り、乗っ取られたアカウントの無効化、不正な送信者のブロック、認証情報のリセットといった修復ステップが迅速化します。

DMARCeyeの無料トライアルに登録して、メールドメインを保護しましょう。

DMARCおよび関連用語について詳しくは、DMARCeye用語集をご覧ください。