攻撃が行われる一般的な流れ

1．Microsoft 365アカウントが乗っ取られる
攻撃者は、過去のフィッシングなどで盗んだID・パスワードを使い、企業や取引先のMicrosoft 365アカウントへ不正にサインインします。
多要素認証を突破するため、偽サイトを介して認証情報やセッション情報を盗む高度な手口もあります。

2．不正なファイルがOneDriveやSharePointに置かれる
乗っ取ったアカウントのOneDriveやSharePointに、攻撃用のファイルが保存されます。
ファイル自体には、次のような表示やリンクが含まれる場合があります。

• 文書を表示する
• ファイルをダウンロードする
• 内容を確認する
• Microsoft 365でサインインする
• セキュリティ確認を行う
• メッセージを読む

ファイル名も、業務上ありそうなものに偽装されます。

• 請求書
• 見積書
• 契約書
• 注文書
• 支払明細
• 会議資料
• ボイスメッセージ
• 人事関連書類

3．正規の共有機能から通知が送られる
攻撃者がファイルを共有すると、Microsoftの共有機能から通知メールが送られます。 そのため、通知メールの送信経路やリンクの一部が、本物のMicrosoftサービスである場合があります。
また、乗っ取られたアカウントが取引先のものであれば、共有者として知っている担当者名が表示されることもあります。

4．共有ファイルから外部サイトへ誘導される
利用者が共有されたファイルを開くと、ファイル内に「文書を表示」「ダウンロード」などのボタンが表示されます。
そのボタンを押すと、Microsoft 365のサインイン画面に似せた偽サイトへ転送されます。
最初のOneDrive・SharePointのリンクが正規のものであっても、ファイル内のリンク先まで安全とは限りません。

5．ID・パスワードや認証情報が盗まれる
偽サイトへ次の情報を入力すると、攻撃者に送信される可能性があります。

• メールアドレス
• Microsoft 365のパスワード
• SMSなどで届いた認証コード
• 認証アプリに表示された番号
• その他の個人情報

盗まれたアカウントは、社内メールの閲覧、機密情報の取得、取引先への攻撃などに悪用されます。
メールが本物でも危険な場合がある
一般的なフィッシング対策では、送信元アドレスやリンク先ドメインを確認するよう案内されます。 もちろん、これらの確認は重要です。
ただし、OneDrive・SharePointの共有機能が悪用された場合、次のようなことが起こります。

• Microsoftの正規システムから通知される
• 最初のリンク先がMicrosoftの正規ドメインになっている
• 実在する取引先のアカウントから共有される
• 知っている担当者の名前が表示される
• 通常の共有通知と同じデザインで届く

「そのため、「送信元がMicrosoftだから大丈夫」「リンク先にMicrosoftと書かれているから大丈夫」という確認だけでは不十分です。
重要なのは、通知が本物かどうかだけでなく、そのファイルが共有される理由に心当たりがあるかを確認することです。

こんな共有通知は要注意
知らない相手からファイルが共有された

まったく心当たりのない相手から共有されたファイルは、開かないでください。 同姓同名や取引先に似た表示名が使われる可能性もあるため、表示名だけで判断しないことが重要です。

ファイル名が曖昧である
次のように、誰にでも当てはまりそうな名前は注意が必要です。

• Shared Document
• Secure File
• Important Document
• Payment
• Invoice
• Confidential
• Document for Review
• Scanned File

共有される予定がなかった
知っている取引先からの共有でも、事前の連絡がなく、突然ファイルだけが共有された場合は確認が必要です。
特に、普段OneDriveやSharePointを使っていない取引先から届いた場合は、その取引先へ電話などで確認してください。

ファイル内で再度サインインを要求される
OneDriveへサインインした後、ファイル内のボタンから再びMicrosoft 365のID・パスワード入力を求められた場合は注意が必要です。
ブラウザーのアドレス欄を確認し、Microsoftと無関係なドメインへ移動していないか確認してください。

認証コードや承認操作を急かされる
「本人確認のため認証コードを入力してください」
「認証アプリに届いた要求を承認してください」
このような表示が出ても、自分で開始したサインインでなければ承認しないでください。 至急確認するよう求めてくる
次のような表現は、利用者を焦らせて確認を省略させる目的で使われます。

• 本日中に確認してください
• 有効期限が切れます
• 支払いが保留されています
• アクセスが停止されます
• 機密文書のため至急確認してください
• 共有期限が間もなく終了します

開く前に確認したい6つのポイント

1．共有される予定があったか
最初に、「この人から、このファイルが届く予定だったか」を考えます。 予定のない共有は、知っている人から届いても確認が必要です。

2．共有者のアドレスを確認する
表示名だけでなく、実際のメールアドレスを確認します。 ただし、正しいアドレスから届いていても、アカウントが乗っ取られている可能性は残ります。

3．共有者本人へ別の方法で確認する
メールへの返信だけでなく、以前から把握している電話番号、Teams、社内チャットなど、別の連絡手段で確認します。
確認するときは、次のように具体的に聞きましょう。
「○○という名前のファイルを、OneDriveから共有されましたか？」

4．メール内のリンクからサインインしない
不審な場合はメール内のリンクを押さず、普段利用しているMicrosoft 365のポータルやOneDriveを直接開きます。
お気に入りに登録した公式ページからアクセスする方法も有効です。

5．リンク先のアドレスを確認する
サインインを求められた場合は、ブラウザーのアドレス欄を確認します。
ページの見た目やMicrosoftのロゴだけでは判断できません。偽サイトでも、本物に近い画面を表示できます。

6．パスワード以外も入力しない
認証コードや認証アプリの承認要求も、アカウントを奪うために利用される可能性があります。
自分が開始していない認証要求は拒否してください。

本物の共有通知か確かめる安全な方法
不審な共有通知が届いたときは、次の手順で確認します。

• 1. メール内のリンクを押さない
• 2. 普段使用しているブラウザーを開く
• 3. Microsoft 365またはOneDriveの公式画面を直接開く
• 4. 「共有」または「自分と共有」から対象ファイルを確認する
• 5. 共有者とファイル名を確認する
• 6. 心当たりがなければ開かず、共有者本人へ連絡する
  ただし、公式OneDrive上にファイルが表示されていても、ファイルの内容が安全とは限りません。
• 7. 心当たりのないファイルや、ファイル内から外部サイトへ誘導するものは開かないでください。

会社として実施したい対策
多要素認証を有効にする
Microsoft 365アカウントには多要素認証を設定します。
パスワードだけが盗まれた場合の不正サインインを防ぎやすくなります。
ただし、自分が開始していない認証要求を利用者が承認してしまうと突破される可能性があります。認証要求を無条件で承認しないよう、社内教育も必要です。

外部共有の範囲を見直す
SharePoint・OneDriveで、誰でも匿名で利用できる共有リンクを自由に作成できる状態になっていないか確認します。
業務上必要な範囲に合わせて、次の設定を検討します。

• 外部共有を許可するユーザー
• 共有可能な相手
• 匿名リンクの使用可否
• 共有リンクの有効期限
• 編集・ダウンロード権限
• 特定ドメインだけへの共有制限

不審なサインインを確認する
Microsoft 365管理者は、不審な地域や端末からのサインインがないか確認します。 アカウントが乗っ取られると、OneDriveの共有だけでなく、メールの盗み見やビジネスメール詐欺へ発展する可能性があります。

メールの自動転送・仕分けルールを確認する
攻撃者は、利用者に気付かれないように特定のメールを別フォルダーへ移動したり、外部へ転送したりする設定を追加することがあります。
定期的に次の項目を確認しましょう。

• 外部への自動転送
• 見覚えのない受信トレイルール
• 削除済みメール
• 送信済みメール
• 身に覚えのない共有履歴

Microsoft Defenderの機能を確認する
Microsoft Defender for Office 365の対象ライセンスでは、OneDrive・SharePoint・Teams上の悪意あるファイルを検出して利用を制限するSafe Attachmentsなどの機能があります。
【Microsoft Learn「Safe Attachments for SharePoint, OneDrive, and Microsoft Teams」】
利用できる機能は契約ライセンスによって異なるため、自社環境で有効になっているか管理者が確認する必要があります。

ファイルやリンクを開いてしまった場合
ファイルを表示しただけで、必ずアカウントが乗っ取られたとは限りません。 何をしたかによって必要な対応が変わります。

ファイルを開いただけ
ファイル内のリンクを押しておらず、ダウンロードや情報入力もしていない場合は、ファイルを閉じて社内のIT担当者へ報告します。
端末のセキュリティスキャンも実施してください。

ファイル内のリンクを押した
リンク先で何も入力していなくても、遷移先のURL、表示された画面、日時を記録してIT担当者へ報告します。
可能であれば、ブラウザーの履歴を削除する前に確認してもらいましょう。

ID・パスワードを入力した
直ちにMicrosoft 365のパスワードを変更します。
併せて、次の確認が必要です。

• 不審なサインイン履歴
• サインイン中のセッション
• 多要素認証の登録情報
• 外部への自動転送
• 受信トレイルール
• 送信済みメール
• OneDrive・SharePointの共有履歴

認証コードを入力・承認した
パスワードと同様に、アカウントが不正利用されている可能性があります。
すぐに管理者へ連絡し、セッションの無効化、認証情報の再設定、サインイン履歴の調査を行います。
詳しい初動対応は、関連記事「怪しいメールをクリック・入力してしまったときの対処法」もご確認ください。

2026年にもSharePointを悪用した攻撃が報告されています
Microsoftは2026年1月、SharePointのファイル共有機能を悪用した多段階型のフィッシングとビジネスメール詐欺の攻撃について公表しました。
この攻撃では、SharePointを通じてフィッシング用の内容が配布され、アカウント侵害後には受信トレイルールも悪用されていました。

OneDriveやSharePointは危険なサービスなのではありません。
多くの企業が利用する信頼性の高いサービスだからこそ、その信頼感が攻撃に悪用されます。

まとめ

OneDrive・SharePointの共有通知が、Microsoftの正規システムから送られている場合でも、共有されたファイルが安全とは限りません。
特に、次のような場合は注意してください。

• ファイルが共有される予定がなかった
• 共有者に心当たりがない
• 知っている担当者だが、普段と異なる共有方法だった
• ファイル内で再度サインインを求められた
• 認証コードや認証アプリの承認を求められた
• 「至急」「期限切れ」など、操作を急かされた
• ファイル内のリンクから外部サイトへ移動した

怪しいメールを操作してしまった方へ

パスワード期限切れ・不審ログイン通知に注意

請求書の振込先変更メールに注意

ITの困りごとを、
どこに相談すればよいかわからない。

そんなときは
よろずITおまかせサポートへご相談ください。

アルファーパートナーズが中小企業のIT相談役
として状況整理から伴走します。