Moshiru
記事一覧無料スキャン

セキュリティの手引き

AitB攻撃とは｜多要素認証のあとのログインを奪う手口と防ぎ方

公開：2026年10月14日／最終更新：2026年10月14日／Moshiru 岡﨑 悠太

結論：AitB（Adversary-in-the-Browser）は、攻撃者が用意したブラウザを経由させてログインさせ、多要素認証を通ったあとの「ログイン中の状態（セッション）」を丸ごと奪う手口です。Browser-in-the-Middle（BitM）とも呼ばれ、近い仲間にAitMフィッシングがあります。どちらもSMSや認証アプリのコードだけでは止まりません。防ぐ軸はパスキーやFIDO2などフィッシングに強い認証です。やられたかもしれないときは、全セッションのサインアウトと転送ルールの確認まで行います。

AitBとAitMは多要素認証のあとのログイン状態を奪う。パスキーなどフィッシングに強い認証、ログイン状態の短縮、ブックマークからのログイン、全セッションのサインアウトで備える

何が起きるか：AitMとAitBの違い

ログインすると、サービスはブラウザに「確認済み」の印（セッションCookieなど）を渡し、この印でログイン状態が続きます。2つの手口は、この印を横取りします。

手口仕組み
AitMフィッシング偽のログイン画面が本物とのあいだで中継し、発行された印を攻撃者が受け取ります。
AitB（BitM）攻撃者の手元のブラウザの画面を被害者に映します。被害者は画面越しにログインするので、ログイン状態が攻撃者の手元に残ります。

Microsoftのセキュリティブログ（2022年7月）は、2021年9月以降に1万を超える組織が狙われたAitMフィッシングを報告しています。早い例では、印を盗んで5分ほどで取引先を狙った支払いの詐欺に移っていました。

なぜ多要素認証だけでは防げないか

確認コードや承認通知は「本人がその場で入れたか」を確かめる仕組みです。どちらの手口も、本人が正しく入れたコードを本物へそのまま渡すので、サービスから見ると正しいログインです。Microsoftは、多要素認証は今も多くの脅威を止めるとしています。答えは「やめる」ではなく「破られにくい種類に替える」です。

パスキーやFIDO2のセキュリティキーは、ログイン先のドメイン名と結びついています。偽のドメインからの求めには正しく応えないため、中継しても使えません。フィッシング対策協議会の「フィッシング対策ガイドライン 2026年度版」も、パスキーなどフィッシング耐性を持つ多要素認証での本人確認を求めています。

AitBという言葉の出どころ

BitMは、イタリアの研究者の論文「Browser-in-the-Middle (BitM) attack」（2022年）の名前で、MITREの攻撃パターン集CAPECにもCAPEC-701として載っています。2025年3月にはMandiantが、数秒でセッションを奪える手口と解説しました。一方、CAPECの「Adversary in the Browser（AiTB、CAPEC-662）」は、不正なプラグインなどをブラウザに入れさせる型を指します。資料によって範囲が違うので、社内では「攻撃者のブラウザを経由させる型」かどうかを分けて話します。

見分け方：ログインの前に3つ見る

見分けに頼り切らず、次の仕組みで止めます。

防ぎ方：効く順に5つ

対策やること
フィッシングに強い認証Googleはパスキー、Microsoft 365はFIDO2セキュリティキーやWindows Hello for Business。Microsoft Entraの条件付きアクセスでは「フィッシングに強いMFA強度」を求められます。管理者と経理から替えます。
条件付きアクセス会社の端末や決めた場所以外からのログインを止めます。盗んだ印を使うたびに判定されます。Entra ID P1またはP2が必要です。
ログイン状態を短くEntraは条件付きアクセスの「サインイン頻度」（既定は90日のローリング期間）。Google Workspaceは管理コンソールの「セキュリティ」→「アクセスとデータ管理」→「Google セッションの管理」（既定は14日）。
ブックマークからログインメールのリンクからはログインせず、ブックマークから入ると決めます。
怪しいログインの通知Googleは新しいデバイスでのログインなどで通知を出します。届いたら放置しないと決め、管理者は見慣れない場所からのサインインを定期的に見ます。

画面の名前は変わることがあります。入れ方は多要素認証の手引きにまとめています。

やられたかもしれないときの初動

偽の画面に入力した、覚えのない通知が来た、というときは次の順に動きます。Microsoftは、セッションが奪われたときはパスワードの再設定だけでは足りないとしています。

  1. 全セッションをサインアウト：Microsoft 365は、Entra 管理センターでユーザーの「概要」から「セッションの取り消し」を選びます。Google Workspaceは、管理コンソールでユーザーを停止するとログインCookieもリセットされます。個人のGoogleアカウントは「セキュリティ」の「すべてのデバイスを管理」から、知らない端末をログアウトします。
  2. パスワードを変える：正規の画面から変え、使い回している所も変えます。
  3. 認証方法を確かめる：攻撃者が自分の電話番号の確認方法を足していた例があります（Microsoft、2023年）。見覚えのない方法や端末は消します。
  4. 転送とルールを確かめる：取引先からの返信を既読にしてアーカイブへ移すルールを作られた例があります。見る所はメールアカウントが乗っ取られたらの表にあります。
  5. 記録して知らせる：時刻、入力した画面のURL、届いたメールを残し、社内と取引先に知らせます。

Microsoft Learnによると、取り消し後も発行済みのアクセストークンは既定で1時間ほど有効です。しばらくはログイン履歴を見ておきます。

よくある質問

パスキーにすれば、もう安全ですか？
偽の画面や攻撃者のブラウザによる中継には強くなります。ただしMandiantは、パソコン自体が乗っ取られている場合は守り切れないと注意しています。OSとブラウザの更新も合わせて行ってください。
小さな会社で、条件付きアクセスが使えません。
条件付きアクセスにはMicrosoft Entra ID P1以上が必要です。使えない場合は、まず全員の多要素認証、管理者だけでもパスキーかセキュリティキー、ブックマークからのログインを先に進めます。

誰が、どの方法でログインしているかを洗い出す

Moshiruのアカウント棚卸しパックは、Google WorkspaceやMicrosoft 365のアカウントと権限、多要素認証の状態を一覧にし、見直す手順をお渡しします。打合せはありません。

アカウント棚卸しパックを見る100人まで5万円（税別）メールが乗っ取られたら止める・確かめる・知らせる多要素認証の手引き今日から入れる手順

参考にした資料

  1. MITRE CAPEC「CAPEC-662: Adversary in the Browser (AiTB)」
  2. MITRE CAPEC「CAPEC-701: Browser in the Middle (BiTM)」
  3. F. Tommasi, C. Catalano, I. Taurino「Browser-in-the-Middle (BitM) attack」International Journal of Information Security（2022年）
  4. Mandiant（Google Cloud）「BitM Up! Session Stealing in Seconds Using the Browser-in-the-Middle Technique」（2025年3月）
  5. Microsoft Security Blog「From cookie theft to BEC: Attackers use AiTM phishing sites as entry point to further financial fraud」（2022年7月）
  6. Microsoft Security Blog「Detecting and mitigating a multi-stage AiTM phishing and BEC campaign」（2023年6月）
  7. フィッシング対策協議会「フィッシング対策ガイドライン 2026年度版」
  8. Microsoft Learn「条件付きアクセス認証の強度」
  9. Microsoft Learn「条件付きアクセスのアダプティブ セッションの有効期間ポリシー」
  10. Microsoft Learn「Microsoft Entra ID でユーザー アクセスを取り消す」
  11. Google Workspace 管理者ヘルプ「Google サービスのセッション継続時間を設定する」
  12. Google Workspace 管理者ヘルプ「不正使用されたアカウントを特定して保護する」
  13. Google アカウント ヘルプ「パスワードの代わりにパスキーでログインする」
  14. Google アカウント ヘルプ「アカウントにアクセスしたデバイスを確認する」
  15. Google アカウント ヘルプ「セキュリティ通知への対応」
  16. Gmail ヘルプ「Gmail のメールを他のアカウントに自動転送する」