数週間前、息子の Microsoft アカウントが乗っ取られた。以来、それを返してもらうよう Microsoft を説得することに、私は不合理なほどの時間を費やしている。
Microsoft アカウントの ID は分かっている。その ID として使われているメールアドレスも私が管理している。息子は私が管理者を務める Microsoft ファミリー セーフティの子どもとして登録されている。彼が使っていたコンピュータ、以前のパスワード、端末 ID、過去のファミリー セーフティのレポート、侵害の前後を示すスクリーンショット、そして彼が普段使っていた IP アドレスも手元にある。
それでも Microsoft はアカウントを復旧してくれない。
問題は Microsoft に証拠が足りないことではない。問題は、Microsoft の復旧システムが台本の外にある証拠について考える能力を持たないように見えることだ。そこでセキュリティはセキュリティであることをやめ、演劇になる。
アカウントはどう乗っ取られたか
プライバシーのため、息子の Microsoft アカウントを myson123@icloud.com としておく。
侵害がどう起きたのか正確には分からないが、Discord での詐欺が発端だった可能性があると考えている。中学生の息子はそこで友人たちと Minecraft やほかのゲームの話をしている。
ある時点で、攻撃者が彼の Microsoft アカウントへのアクセスを得て、復旧情報を差し替えた。いまアカウントを復旧しようとすると、Microsoft は確認コードを br***@securitylock24hrs.net に送ろうとする。
それは私たちのメールアドレスではない。攻撃者のものだ。とりわけ奇妙なのは、myson123@icloud.com がいまも Microsoft アカウントのサインイン ID のままだという点である。その iCloud アカウントは私たちが管理しており、攻撃者は管理していない。それでも Microsoft は、そこへ確認メッセージを送るということをしない。
代わりに Microsoft の復旧システムは、攻撃者が書き換えたセキュリティ情報を通じて連絡することに固執する。攻撃者がアカウントを侵害し、復旧先アドレスを変更する。すると Microsoft は、いまもアカウントに紐づいたままの元のメールアドレスより、攻撃者の復旧先アドレスのほうを正当なものとして扱う。
攻撃者にとっては、なかなかいい取り決めだ。
これは既知の攻撃パターンらしい
securitylock24hrs.net を見たあと、そのドメインを検索したところ、まったく同じドメインの復旧先アドレスを設定されて Microsoft アカウントを侵害された人々の報告がすぐに見つかった。2026 年の Microsoft Q&A のスレッドがいくつも、侵害後に見覚えのない @securitylock24hrs.net のアドレスが突然現れたと述べている。ある被害者は、Minecraft の Discord サーバーに関連する「認証」手続きのあとに侵害が起きたと具体的に書いていた。
参照: Microsoft Q&A: securitylock24hrs.net
見分けのつくパターンがある。
- 本来の所有者がアクセスを失う。
- セキュリティ情報が変更される。
-
securitylock24hrs.netの復旧先アドレスが現れる。 - 正当な所有者は通常の復旧手段を使えなくなる。
これは警告の合図であるべきだ。ところが Microsoft の復旧システムは、攻撃者が新たに追加したアドレスのほうを正当なものとして扱う。
復旧という迷路へようこそ
Microsoft にもアカウント復旧の手続きはある。というより複数あり、それ自体が問題の一部だ。通常の復旧フォームは、アカウントに関する情報を提出して所有権を証明するよう求める。Microsoft は、このフォームは所有者しか知り得ないはずの質問を意図的に尋ねるものだと説明し、以前に使った端末と場所から送信するよう勧めている。
参照: Microsoft サポート: アカウント復旧フォームのヘルプ
もっともらしく聞こえるが、これが子どものアカウントだと考えると話は変わる。息子はこの Microsoft アカウントで何かを購入したことが一度もないので、役に立つクレジットカードの履歴はない。メールに Outlook を使っていないので、件名も連絡先も特定しようがない。Xbox も使っていない。Windows と Minecraft が持てというから Microsoft アカウントを持っている、それだけの子どもだ。
それでも復旧の過程で、私は以下のすべてを求められた。
- ACSR 番号: 復旧フォームを四回送ったが、一度も受け取っていない。復旧手続きが、自らの復旧手続きが発行しそこねた識別子を要求してくる。
- 連絡用メール、電話番号、IP アドレス、国、州、郵便番号: 提出済み。どうやら十分ではないらしい。
- 支払い情報と購入証明: 存在しない。子どもであり、このアカウントで何も買ったことがない。
- 子どもの氏名と生年月日: 本名、愛称、オンラインのハンドルネームを提出した。何年も前にどの日付が入力されたのかは分からないし、ファミリー セーフティから見ることも確認することもできない。
- Xbox の情報: なし。このアカウントに紐づく Xbox は持っていない。
- アカウント作成日、最終ログイン、最終パスワード変更日: 推定で答えた。Microsoft はこの履歴を持っているが、私はファミリー セーフティ内で見つけられない。
- Windows のデバイス ID: Microsoft に指示された識別子を JSON ファイルの中から見つけて提出した。Windows の設定でもっと目立つ位置にあるデバイス ID も提出した。それでも足りない。
どこかの時点で問わざるを得なくなる。これだけの情報を集めることに、どれ一つとして手続きを前に進められないのなら、いったい何の意味があるのか。
Microsoft は私が親であることをすでに知っている
息子のアカウントは、私の Microsoft ファミリー セーフティのファミリー内にある子どもアカウントで、私は管理者だ。Microsoft はファミリーの管理者をファミリー グループの管理者と説明している。管理者は権限、スクリーンタイム、コンテンツ フィルター、支出、同意、アクティビティ レポートを管理できる。
参照: Microsoft サポート: Microsoft ファミリー セーフティの設定
私はいまも毎週、息子のアカウントに関する Microsoft ファミリー セーフティのメールを受け取っている。そのレポートを、侵害の前後のものも含めて Microsoft に送った。自分の Microsoft アカウントと息子のアカウントとの関係も示した。アカウントに紐づいた Windows のコンピュータも示した。そのコンピュータはいま、Microsoft ファミリー セーフティに再度サインインするよう息子に繰り返し求めてくるが、彼のアカウントは乗っ取られているのでサインインできない。
Microsoft は、子どもを監督し、購入を承認し、アプリを制限し、行動を見守り、デジタル生活を管理する程度には私を信頼している。しかし、そのアカウントの復旧を手伝う程度には信頼していない。ファミリー セーフティには、子どもの Microsoft アカウントをリセットする手段が一切ない。検証済みの親子関係を維持するというのなら、アカウントの復旧こそ、その関係がものを言うべき最も重要な場面の一つのはずだ。
なぜ Microsoft は iCloud のアドレスにメールを送らないのか
ここには正当なセキュリティ上の論拠がある。Microsoft はアカウントのサインイン ID と、指定されたセキュリティ情報とを区別している。Microsoft アカウントへのサインインに使われているメールアドレスは、そのメールボックスを支配する人物がアカウントの所有者である十分な証拠として、自動的には扱われない。
一見すると筋が通っている。誰かが外部のメールボックスを乗っ取り、それだけで Microsoft アカウントまで奪えるようにはしたくない。だが Microsoft は復旧の過程で、すでに外部のメールボックスを信頼している。指定された復旧先アドレスに復旧コードを送るとき、そのメッセージを受け取る人物の認証を、別のメール事業者に委ねているのだ。
myson123@icloud.com を支配していれば、あらゆる場合にパスワード再設定が自動的に認められるべきだ、と主張しているのではない。それは強力な証拠であり、Microsoft がすでに把握しているすべてと組み合わせればなおさらだ、と言っている。私たちの場合、Microsoft は次の信号をすべて持っている。
- Microsoft アカウントに紐づく元の iCloud アドレスと、それを私たちが引き続き支配しているという事実。
- 以前の Microsoft のパスワード、既知の Windows 端末、そして複数の端末識別子。
- Microsoft ファミリー セーフティで結ばれた親のアカウントと、何年分ものアクティビティ レポート。
- 普段の自宅の IP アドレス、地理情報、そして侵害の前後のスクリーンショット。
- ほかの Microsoft アカウント侵害と公に結び付けられているドメインを使った復旧先アドレス。
セキュリティ上の分別ある応答とは、iCloud アカウントがすべてを証明する、ということではない。iCloud アカウントは数ある強い信号の一つであり、変更されたばかりの復旧先アドレスを、もはや疑いようのない真実として扱うべきではない、ということだ。
セキュリティの仕組みには現実への非常口が要る
Microsoft のサポート チームは台本に従っているように見える。個々の担当者を責めるつもりはない。おそらく逸脱を許されていない。問題は台本のほうだ。
Microsoft はアカウント復旧を、主として Microsoft 自身に対するソーシャル エンジニアリングを防ぐために設計したように見える。それは理解できる。サポート担当が自由にアカウントをリセットできれば、攻撃者は偽の復旧依頼を浴びせてくるだろう。そこで Microsoft は手続きを固め、担当者から裁量を取り上げ、検証の多くを自動化した。
おかげで、カスタマー サポート経由で悪用するのは難しくなった。だが Microsoft には考えるべき別の脅威モデルがある。攻撃者がすでに内側にいる場合はどうなるのか。攻撃者は一度アカウントに入り、セキュリティ情報を変更する。その瞬間から、Microsoft のアーキテクチャは攻撃者が与えた情報を、アカウントの信頼された状態の一部として扱いはじめる。その一方で正当な所有者は、自動化された復旧システムを満足させるために、何年分もの分かりにくいメタデータを再構築しなければならない。
ほとんど使われていない子どものアカウントでは、そのメタデータの多くはそもそも存在しない。攻撃者はシステムを一度だませばいい。被害者は所有権を何度も何度も証明しなければならない。
Microsoft がこれを改善できる明白な方法はある
- ファミリー セーフティを復旧に使えるようにする。 検証済みの親子関係は主要な復旧信号であるべきで、管理者が認証を行うフローを備えるべきだ。
- 過去のセキュリティ情報を保持し、活用する。 長年使われてきた外部メールがアカウント乗っ取りの直前に消えたのなら、不正調査の担当者はその履歴を見られるべきだ。
- 既知の悪性復旧ドメインを検出する。 乗っ取りに繰り返し関連づけられたドメインは、通常のアカウント更新のように見えるのではなく、追加の精査を引き起こすべきだ。
- 本物のエスカレーション経路を作る。 もう一枚のフォームでも、チャットボットでも、何もできない担当者でもなく。誰かがアカウントの履歴すべてを確認し、証拠の総体に基づいて判断できるようにすべきだ。
なぜ Cloudflare にドメインを通報したのか
securitylock24hrs.net は Cloudflare にも通報した。Cloudflare に Microsoft アカウントを復旧してくれと頼んだわけではない。攻撃者が使っているインフラを通報したのだ。あるドメインがアカウント乗っ取りの一部として使われているなら、そのドメインにネットワーク サービスを提供する企業に通報することで、悪用の調査、遮断、あるいは適切な事業者への引き継ぎにつながりうる。
Cloudflare の不正利用報告システムは、私の申請を自動的に却下した。どうやらシステムが過負荷だったらしい。FBI のインターネット犯罪苦情センター、IC3 にも届け出を行い、その報告書を、アカウントが盗まれたと正式に主張していることの追加資料として Microsoft に渡した。息子のアカウントは、いまも戻ってきていない。
もどかしいのは、これが解けるはずの問題だということだ
Microsoft に、私の言葉を鵜呑みにしてくれと頼んでいるのではない。iCloud アカウントを試せばいい。私の Microsoft アカウントを試せばいい。Windows 端末を試せばいい。IP の履歴を突き合わせればいい。ファミリー セーフティの履歴、セキュリティ情報が変更された時刻、攻撃者の復旧ドメイン、以前のパスワードを見ればいい。それらをまとめて見ればいい。
セキュリティ調査とは本来そういうものだ。ところが Microsoft の手続きは、あらかじめ決められた枠を、自動システムが期待するとおりの情報で十分な数だけ埋められるかどうかを問うているように見える。この二つは同じではない。
本物のセキュリティとは、リスクと証拠を評価することだ。演出としてのセキュリティとは、手順に従うことだ。いまの Microsoft のアカウント復旧手続きは、はるかに後者に近い。この子のアカウントについて言えば、Discord の誰かがそれを盗むほうが、親が取り戻すよりも簡単だったように見える。それは成功したセキュリティ モデルではない。ひとたび破られたら攻撃者を守るセキュリティ モデルだ。
Top comments (0)