見覚えのない国からのサインイン通知が届いた、社員から「自分が送っていないメールが送信済みに入っている」と報告があった——こうした場面では、何をどの順番で行うかで被害の範囲が変わります。この記事では、最初に手をつけるべきことから順に整理します。通知が届く前の段階で、費用をかけずに自社の状況を調べる方法は不正ログインを無料で確認する方法にまとめています。
結論を先に書くと、パスワードの変更だけでは足りません。それだけで対処を終えて、後日また入られる例が実際にあります。
手順1：セッションを切る（最優先）
パスワードを変えても、すでに確立されている接続はしばらく生き続けます。攻撃者の画面は開いたままです。まずここを切ります。
- entra.microsoft.com → ID → ユーザー → 対象ユーザーを開く
- 「パスワードのリセット」を実行
- 続けて「セッションを取り消す」を実行
2つは必ず両方です。順番はパスワード変更が先で、その後にセッションの取り消しを行います。逆にすると、取り消したあとに古いパスワードで入り直される可能性が残ります。
手順2：認証方法に見覚えのない登録がないか確認する
ここが最も見落とされます。攻撃者は侵入後、自分の電話番号や認証アプリを「本人の認証方法」として追加することがあります。
この登録が残っていると、パスワードを変えても、攻撃者はパスワードのリセット手続きを使って入り直せます。対処したつもりで再侵入されるのは、たいていこれが原因です。
ユーザーの詳細画面から「認証方法」を開き、登録されている電話番号・アプリ・メールアドレスを1件ずつ本人に確認してください。覚えのないものは削除します。
多要素認証があっても突破される経路については 多要素認証が突破される場合で扱っています。
手順3：メールの転送ルールを確認する
アカウントを乗っ取った攻撃者が最初に行う操作の一つが、受信メールを外部へ自動転送する設定です。これを残しておけば、追い出されたあとも情報を取り続けられます。
「特定の単語を含むメールを既読にして削除する」という巧妙なルールが仕込まれる例もあります。取引先とのやり取りを本人に見せないためです。
- Exchange 管理センターで、対象メールボックスの受信トレイのルールと転送設定を確認
- 本人に確認し、覚えのないものを削除
- 他のユーザーにも同様のルールがないかを確認（横展開されている場合がある）
手順4：何をされたかを調べる
止めたあとは、範囲の特定です。ここで手を抜くと、後の判断ができなくなります。
| 調べること | 場所 |
|---|---|
| いつから侵入されていたか | Entra ID のサインイン ログ |
| どのファイルが参照されたか | Microsoft Purview の監査ログ |
| どのメールが送信されたか | 送信済みアイテム・メッセージ追跡 |
| 他のアカウントも狙われたか | 同一IPからのサインイン記録 |
サインインログの保存期間には注意が必要です。ライセンスによっては7日間しか残りません。調査を後回しにすると、記録そのものが消えます。確認手順と保存期間は Entra ID のサインインログを確認する手順にまとめています。
最後の項目を必ず行ってください。1つのアカウントだけが狙われることは稀で、同じ攻撃者が複数のアカウントを試している場合があります。
手順5：報告義務があるかを判断する
個人情報が含まれるメールやファイルにアクセスされた可能性がある場合、法律上の報告義務が生じることがあります。
不正アクセスによる漏えいのおそれは、件数に関係なく対象です。「1件だから報告不要」という判断は誤りです。速報の期限も短く、社内で検討している間に過ぎてしまいます。
判断の基準と期限は 個人情報漏えいの報告義務と期限で整理しています。この判断は、調査が完了する前に始める必要があります。
「範囲が特定できない」ことは、報告しない理由にはなりません。むしろ、範囲を絞れない場合は対象が広く扱われます。ログを残しておくことの実務的な意味はここにあります。
手順6：同じことが起きない状態にする
復旧して終わりにすると、多くの場合また起こります。侵入経路に応じて手を打ちます。
- レガシ認証が有効なら無効化する — 多要素認証を回避できる経路です。サインインログのクライアントアプリで残存を確認できます
- 多要素認証が全員に適用されているか確認する — 除外されたアカウントが残っていることがあります。手順はMicrosoft 365で多要素認証を必須にする手順を参照してください
- 同じパスワードが他で使われていないか確認する — 侵入の起点が他社サービスの漏えいである場合、社内の他のシステムも同じ状態です。使い回しを確認する方法で扱っています
- フィッシングによる入手かを確認する — 同じメールが他の社員にも届いている可能性があります。フィッシングによる認証情報の窃取を参照してください
やってはいけないこと
アカウントをいきなり削除しないでください。調査に必要な記録が失われます。無効化とセッションの取り消しで、実害は止まります。
本人を責めないでください。報告が遅れる最大の原因は、報告した人が責められる文化です。気づいた時点ですぐ報告される状態を保つ方が、被害の総量は小さくなります。
よくある質問
Microsoft 365で不正アクセスの疑いがあるとき最初に何をすべきですか
パスワードのリセットと、続けてセッションの取り消しです。パスワード変更だけでは既存の接続が生き続けるため、両方を実施してください。
パスワードを変えたのにまた侵入されるのはなぜですか
攻撃者が自分の電話番号や認証アプリを認証方法として追加している可能性があります。この登録が残っていると、パスワードのリセット手続きを使って入り直せます。認証方法の一覧を本人と照合して削除してください。
1件だけの漏えいでも報告が必要ですか
不正アクセスによる漏えいのおそれは、件数に関係なく報告の対象となり得ます。件数だけで判断せず、速やかに要否の検討を始めてください。
いまの運用を棚卸ししてみる
侵入後の対処手順を持っていることは重要ですが、使わずに済む状態を作る方が優先です。applippliの無料棚卸しでは、10問・約3分で、ID・パスワードに関連する対応状況を、「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。結果はPDFレポートでもお届けします。個人情報の入力は不要で、会員登録もありません。
参考・出典
※ 本記事は2026年9月時点の一般的な解説です。画面構成やメニュー名称は変更される場合があります。報告義務の要否は事案の内容によって異なるため、実際の判断にあたっては個人情報保護委員会の公表資料および専門家の助言をご確認ください。