こんなときにご相談ください
2026年10月には日本経済新聞社や東日本三菱自動車販売が Microsoft 365 アカウントの乗っ取りと、そこからのなりすましメール送信を公表しています。公表に至らない同種の事案は、はるかに多く起きています。
調査でわかること
- 侵入経路：フィッシング（AiTM 型を含む）、パスワードスプレー、MFA 疲労攻撃、漏えいした認証情報の再利用のどれに当たるか。
- 期間と接続元：最初の不正サインインから封じ込めまでの期間、使われた IP アドレス、国、端末、アプリケーション。
- 操作内容：閲覧・検索・ダウンロードされたメールとファイル、送信されたメール、作成された転送ルールと受信トレイルール、追加されたアプリの同意やデバイス登録。
- 横展開：他のアカウント、SharePoint や OneDrive、Teams への波及の有無。
- 影響範囲の件数：閲覧された可能性のあるメールとファイルの件数と、含まれる個人情報の種類。個人情報保護委員会への報告判断と、取引先への説明の根拠になります。
ログは消えます。Entra ID のサインインログは標準で7日、Entra ID P1 / P2 でも30日で消えます。統合監査ログの保存期間はライセンスにより180日または1年です。気づいた時点でログの保全を始めるかどうかで、確定できる事実の量が変わります。
進め方
- 初動（当日）影響を受けたアカウントの保全、セッションの失効、転送ルールの停止、追加の被害の防止。ログの保全方法をその場でお伝えします。
- 保全と収集統合監査ログ、Entra サインインログ、メールボックス監査ログ、受信トレイルール、アプリの同意、デバイス登録を収集します。読み取り専用で作業し、元のデータは変更しません。
- 分析攻撃者の操作と正規の操作を切り分け、時系列を再構成します。確認できた事実と推定を区別して記録します。
- 報告日本語と英語の報告書。経営層向けの要約、技術的な詳細、影響範囲の一覧、個人情報保護委員会や取引先への説明に使える根拠資料、再発防止策を含みます。
- 再発防止条件付きアクセス、MFA の方式、レガシー認証の停止、監査ログの設定、必要に応じて SecureWatch による継続的な監視。
成果物
- 調査報告書（日本語、英語、または両方）。事実と推定を明確に区別します。
- 不正アクセスの時系列と、接続元・操作内容の一覧。
- 影響を受けた可能性のあるメール・ファイルの件数と個人情報の種類の整理。
- 個人情報保護委員会への報告、取引先や顧客への通知文の根拠資料。
- 再発防止策の一覧と優先順位。
報告書は、弁護士や保険会社に提出することを前提に作成します。海外の本社や親会社への報告が必要な場合は、同じ内容を英語で用意します。
料金の目安
よくある質問
費用はどのくらいかかりますか？
初動対応と基本調査で35万円程度からが目安です。アカウント数、対象期間、保存されているログの範囲、報告書の言語により変動します。調査開始前に範囲と金額を確定します。
どのくらいの期間で結果が出ますか？
初動の助言は当日、暫定的な所見は通常数営業日以内、報告書はログの量により1週間から数週間が目安です。ログの保全が早いほど、確定できる事実が増えます。
パスワードを変更してサインインは止まりました。それでも調査は必要ですか？
パスワード変更は侵入を止めますが、何を見られ、何を送られ、どんなルールやアプリの同意が残っているかは分かりません。転送ルールやアプリの同意が残ったままの事例は珍しくありません。個人情報保護委員会への報告の要否も、閲覧された内容が分からなければ判断できません。
英語での対応はできますか？
はい。海外の本社や親会社、英語を使う弁護士や保険会社向けに、同じ調査結果を英語の報告書で提供します。打ち合わせも英語で行えます。
依頼する前に自社で何をしておくべきですか？
影響を受けたアカウントのパスワード変更とセッションの失効、転送ルールの停止、そしてログを消さないことです。端末の初期化や監査ログの設定変更は調査の前に行わないでください。具体的な手順は初動の際にお伝えします。
個人情報保護委員会への報告は必要ですか？
漏えいした、またはそのおそれがある個人情報の種類と件数によります。調査報告書は、この判断に必要な件数と根拠を示すことを目的の一つにしています。法的な判断は弁護士と行ってください。