セキュリティの手引き

Microsoft 365のアカウントが乗っ取られたら｜管理者が最初の1時間にやること

公開：2026年10月14日／最終更新：2026年10月14日／Moshiru 岡﨑 悠太

こんなときは乗っ取りを疑う

Microsoftは、次のような様子を乗っ取りの兆しとして挙げています。1つでも当てはまれば、本人の勘違いと決めつけずに調べ始めます。

取引先から「変なメールが来た」と言われて気づくことも多いです。そのときの連絡の順番は取引先に不審メールが送られたらにまとめています。

最初の15分：止める（順番が大事）

Microsoft 365 管理センターの「ユーザー」→「アクティブなユーザー」で、該当の人を選んで進めます（画面の名前は変わることがあります）。

1. パスワードをリセット：新しいパスワードはメールで送りません。乗っ取った側が読めるおそれがあるためです。電話か口頭で伝えます。
2. すべてのセッションからサインアウト：1時間以内に、もう一度サインインを求められます。

1. サインインをブロック：反映に最大24時間かかることがあります。だから先にパスワードを変えます。
2. アプリ パスワードを消す：パスワードをリセットしても、アプリ パスワードは自動では取り消されません。

Microsoft Entra 管理センターなら、「ユーザー」→「すべてのユーザー」で人を選び、概要の「セッションの取り消し」でも同じことができます。

最初の1時間：確かめる5つの場所

見つけたものは、消す前に画面を撮っておきます。いつ、何をされたかを調べる手がかりになります。

サインインログと監査ログの保存期間は、Microsoft Entra IDの無料の範囲で7日、P1・P2で30日です。期限を過ぎたものは戻せないので、最初にダウンロードしておきます。

乗っ取られていた間に、その人から誰に何が送られたかは、Exchange 管理センターの「メール フロー」→「メッセージ追跡」で調べます。既定は過去2日分で、最大90日までさかのぼれます。10日を超える範囲は、ダウンロードするレポートとして届き、数時間かかることがあります。

そのあと：戻す・知らせる

乗っ取られたアカウントから大量にメールが送られると、送信だけが止められることがあります。受信はできますが、送ると「5.1.8」のエラーで戻ってきます。

解除は Microsoft Defender ポータルの「メールとコラボレーション」→「レビュー」→「制限付きエンティティ」で行います。多くは1時間以内、長くても24時間以内に外れます。

取引先への連絡と例文はこちらに、振込が絡んだときは振り込んでしまったらにまとめています。個人データを見られたおそれがあるときは、漏えいの報告の判断も要ります。

落ち着いたら、全員に多要素認証を入れます。Entra の「セキュリティの既定値群」を有効にすると、全員の多要素認証の登録と、古い認証方式のブロックがまとめて入ります。外部への自動転送も、送信スパムのポリシーで「オフ」と明示しておくと安心です。

よくある質問

参考にした資料

1. Microsoft Learn「侵害されたクラウド メール アカウントに応答する」
2. Microsoft Learn「元従業員のサインインをブロックし、全セッションからサインアウトする」
3. Microsoft Learn「Microsoft Entra ID の緊急時にユーザー アクセスを取り消す」
4. Microsoft Learn「Microsoft 365 でメール転送を構成する」
5. Microsoft Learn「Microsoft Entra のデータ保持」
6. Microsoft Learn「Exchange 管理センターのメッセージ追跡」
7. Microsoft Learn「制限付きエンティティ ポータルからブロックされたユーザーを削除する」
8. Microsoft Learn「外部メールの自動転送を制御する」
9. Microsoft Learn「Microsoft Entra ID のセキュリティの既定値群」
10. Microsoft サポート「Outlook でルールを使用してメール メッセージを管理する」