セキュリティの手引き

AitB攻撃とは｜多要素認証のあとのログインを奪う手口と防ぎ方

公開：2026年10月14日／最終更新：2026年10月14日／Moshiru 岡﨑 悠太

何が起きるか：AitMとAitBの違い

ログインすると、サービスはブラウザに「確認済み」の印（セッションCookieなど）を渡し、この印でログイン状態が続きます。2つの手口は、この印を横取りします。

Microsoftのセキュリティブログ（2022年7月）は、2021年9月以降に1万を超える組織が狙われたAitMフィッシングを報告しています。早い例では、印を盗んで5分ほどで取引先を狙った支払いの詐欺に移っていました。

なぜ多要素認証だけでは防げないか

確認コードや承認通知は「本人がその場で入れたか」を確かめる仕組みです。どちらの手口も、本人が正しく入れたコードを本物へそのまま渡すので、サービスから見ると正しいログインです。Microsoftは、多要素認証は今も多くの脅威を止めるとしています。答えは「やめる」ではなく「破られにくい種類に替える」です。

パスキーやFIDO2のセキュリティキーは、ログイン先のドメイン名と結びついています。偽のドメインからの求めには正しく応えないため、中継しても使えません。フィッシング対策協議会の「フィッシング対策ガイドライン 2026年度版」も、パスキーなどフィッシング耐性を持つ多要素認証での本人確認を求めています。

AitBという言葉の出どころ

BitMは、イタリアの研究者の論文「Browser-in-the-Middle (BitM) attack」（2022年）の名前で、MITREの攻撃パターン集CAPECにもCAPEC-701として載っています。2025年3月にはMandiantが、数秒でセッションを奪える手口と解説しました。

一方、CAPECの「Adversary in the Browser（AiTB、CAPEC-662）」は、不正なプラグインなどをブラウザに入れさせる型を指します。資料によって範囲が違うので、社内では「攻撃者のブラウザを経由させる型」かどうかを分けて話します。

見分け方：ログインの前に3つ見る

• アドレスバーのドメイン：見た目やロゴは本物と同じです。ドメインで判断します。
• 自動入力が効くか：ブラウザやパスワード管理ツールは、保存したサイトでしか自動入力しません。いつもは入るのに入らないときは、偽のサイトを疑います。
• 流れの不自然さ：「共有ファイルを見る」などのリンクから、いきなりMicrosoftやGoogleのログインを求められる流れは要注意です。

見分けに頼り切らず、次の仕組みで止めます。

防ぎ方：効く順に5つ

画面の名前は変わることがあります。入れ方は多要素認証の手引きにまとめています。

やられたかもしれないときの初動

偽の画面に入力した、覚えのない通知が来た、というときは次の順に動きます。Microsoftは、セッションが奪われたときはパスワードの再設定だけでは足りないとしています。

1. 全セッションをサインアウト：Microsoft 365は、Entra 管理センターでユーザーの「概要」から「セッションの取り消し」を選びます。Google Workspaceは、管理コンソールでユーザーを停止するとログインCookieもリセットされます。個人のGoogleアカウントは「セキュリティ」の「すべてのデバイスを管理」から、知らない端末をログアウトします。

2. パスワードを変える：正規の画面から変え、使い回している所も変えます。
3. 認証方法を確かめる：攻撃者が自分の電話番号の確認方法を足していた例があります（Microsoft、2023年）。見覚えのない方法や端末は消します。

4. 転送とルールを確かめる：取引先からの返信を既読にしてアーカイブへ移すルールを作られた例があります。見る所はメールアカウントが乗っ取られたらの表にあります。
5. 記録して知らせる：時刻、入力した画面のURL、届いたメールを残し、社内と取引先に知らせます。

Microsoft Learnによると、取り消し後も発行済みのアクセストークンは既定で1時間ほど有効です。しばらくはログイン履歴を見ておきます。

よくある質問

参考にした資料

1. MITRE CAPEC「CAPEC-662: Adversary in the Browser (AiTB)」
2. MITRE CAPEC「CAPEC-701: Browser in the Middle (BiTM)」
3. F. Tommasi, C. Catalano, I. Taurino「Browser-in-the-Middle (BitM) attack」International Journal of Information Security（2022年）
4. Mandiant（Google Cloud）「BitM Up! Session Stealing in Seconds Using the Browser-in-the-Middle Technique」（2025年3月）
5. Microsoft Security Blog「From cookie theft to BEC: Attackers use AiTM phishing sites as entry point to further financial fraud」（2022年7月）
6. Microsoft Security Blog「Detecting and mitigating a multi-stage AiTM phishing and BEC campaign」（2023年6月）
7. フィッシング対策協議会「フィッシング対策ガイドライン 2026年度版」
8. Microsoft Learn「条件付きアクセス認証の強度」
9. Microsoft Learn「条件付きアクセスのアダプティブ セッションの有効期間ポリシー」
10. Microsoft Learn「Microsoft Entra ID でユーザー アクセスを取り消す」
11. Google Workspace 管理者ヘルプ「Google サービスのセッション継続時間を設定する」
12. Google Workspace 管理者ヘルプ「不正使用されたアカウントを特定して保護する」
13. Google アカウント ヘルプ「パスワードの代わりにパスキーでログインする」
14. Google アカウント ヘルプ「アカウントにアクセスしたデバイスを確認する」
15. Google アカウント ヘルプ「セキュリティ通知への対応」
16. Gmail ヘルプ「Gmail のメールを他のアカウントに自動転送する」