概要
Cloud Protectionの管理者が、侵害されたアカウント情報を確認する方法について説明します。
Cloud Protectionでは、接続している Microsoft 365 アカウントのメールアドレスと、流出しているログインIDの値とが一致した場合、侵害された情報の種類に基づいて、侵害されたアカウントの重大度や、アカウントが悪用される可能性の情報を提供します。
例えば、アカウントのメールアドレスのみが流出しているか、パスワードも含めたアカウント情報が流出しているかを確認できます。
この侵害状況の情報をもとに、アカウントのパスワード変更、またはアカウントの停止などの措置を行ってください。
注意事項
- 本記事の内容は 2026年10月時点での製品仕様に基づき作成しており、以後予告なく変更される場合があります。
- 実際の画面確認や、設定の変更には Cloud Protection の管理者権限が必要です。
- Cloud Protection 管理画面へのアクセス方法は以下の記事をご参照ください。
[Cloud Protection] 管理画面へのアクセス方法 - 侵害されたアカウントへの対応は Cloud Protection 上では実行できません。必要に応じて、Microsoft 365、Access Control、各サービスの管理画面にて対応してください。
手順
Cloud Protection管理画面での確認方法
- Cloud Protection 管理画面の左メニューより [COLLABORATION PROTECTION] - [侵害されたアカウント] へアクセスします。
- 侵害されたアカウントが存在する場合は、対象のアカウントやサービスを確認することができます。
※ 侵害されたアカウントが存在する場合は、画面上部にある検索ウィンドウで、検索の対象とするドメイン名、メールアドレスを指定し、[再表示] ボタンをクリックすることで絞り込みができます。
侵害の重大度については 項目(重大度) をご参照ください。
侵害されたアカウントへの対処例
Cloud Protectionにおいてアカウントの侵害が疑われる場合は、以下の対処法を検討、実施してください。
- アクセスログの確認と状況調査
対象アカウントを確認し、不正アクセスや不審なアクティビティの有無を調査します。- 確認対象の特定
「侵害の名前」にクラウドサービス名が表示されている場合は、該当サービスにてアクセスログを確認し、以下の例のような不審なアクセスの有無を確認します。
※クラウドサービス名の表示がなくサービス名が特定できない場合は、該当ユーザーが利用しているクラウドサービスや Access Control のアクセスログを確認してください。- 社外・海外IPアドレスや、公的機関（JPCERT/CC等）から注意喚起されている悪質IPアドレスからの接続
- 通常の業務時間外・休日等のログイン
- 短時間での大量のログイン失敗（ブルートフォース攻撃等の兆候）
- 通常と異なる端末・ブラウザからの接続
- 最終判断
上記等の要素を総合的に確認し、不正アクセスの有無をご判断ください。
※ログの状況や社内運用ルールに基づき、最終的なご判断はお客様にて実施いただく形となります。
- 確認対象の特定
- 該当サービスでの一次対応（セッション切断など）
不審なアクセスを確認した場合、以下の内容を順に確認します。- サービス側で対象ユーザーのアクティブセッションを即座に切断（強制ログアウト）し、パスワードを変更します。
-
対象のサービスがAccess ControlとSSO連携を行なっている場合は、Access Control側でパスワードを変更し、厳格なアクセス制御（証明書での端末制御、ワンタイムパスワードなど）が有効になっているかを確認します。
明確な不正アクセスが確認できなかった場合でも、リスク低減の予防措置としてセッション切断やパスワード変更を行うことを推奨します。
- 二次被害の防止（パスワードの確認・変更）
パスワードの使い回しによる他サービスへの二次被害を防ぐため、リスクに応じた対応を行います。- パスワードを使い回している（可能性のある）場合
同一または類似のパスワードを設定しているサービスについて、パスワードの変更を行ってください。 - 使い回しがない場合
パスワードマネージャー等で一元管理しており、該当パスワードの使い回しがないことがわかっている場合は、他サービスのパスワード変更作業は省略可能です。
- パスワードを使い回している（可能性のある）場合
項目(重大度)
検知された情報は以下の 4 つの重大度に分類されます。
| 名称 | 説明 | 備考 |
| 侵害されたメールアドレス (重大度 : 低) | メールアドレスまたはメールアドレスと解読不可能なハッシュパスワードが侵害 (公開) された状態 | - |
| 侵害されたメールアドレスとパスワード (重大度 : 中) | メールアドレスとプレーンテキストのパスワードがデータ侵害 (公開) された状態 | 侵害が発生した後にユーザがパスワードを変更した場合や、パスワードを変更していなくても多要素認証が有効になっている場合などにこの重大度となります。 |
| 侵害されたメールアドレスとパスワード (重大度 : 高) | メールアドレスとプレーンテキストのパスワードがデータ侵害 (公開) された状態 | - |
| 感染したユーザ (重大度 : 重大) | 使用したデバイスが悪意のあるソフトウェアに感染している状態 | 悪意のあるソフトウェアがすべてのキーストロークをログに記録している可能性があるので、対象アカウントのパスワードの変更や、追加のセキュリティ対策 (多要素認証など) を行い、迅速にアカウントを取り戻すことが推奨されます。 |
※ 重大度によって警告メールを管理者や対象ユーザへ送信できます。
警告メールの送信は、既定で管理者と侵害対象のユーザー（重大度 : 中 以上の場合）に送信されます。
設定の変更が必要な場合は、ポリシーの編集方法を参照してください。