Microsoftは2026年7月31日、Security Blogにて新たなサイバー攻撃キャンペーン「CaptiveCrunch」を公表しました。攻撃者は米英両政府がロシア対外情報庁（SVR）に帰属を認めている脅威アクター「Midnight Blizzard（NOBELIUM）」の傘下組織「Storm-2945」で、ホテル・会議センター・共有施設などが提供する公共Wi-Fi環境のキャプティブポータル（接続時に表示されるログイン画面）を悪用し、企業出張者を狙って認証情報の窃取と高度なマルウェア配布を行う内容です。ホスピタリティ業界のネットワークが世界規模で標的となっており、日本を含む複数国で影響が確認されています。
攻撃者と背景——ロシア国家関与「Midnight Blizzard」の新キャンペーン
キャンペーンを実行しているのは、Storm-2945と呼ばれるMidnight Blizzard傘下のサブグループです。Midnight Blizzard自体は、米国と英国の両政府がロシア対外情報庁（SVR）に帰属を認めた国家関与の脅威アクターとして知られており、これまでも複数の国家・組織を対象にしたサイバー攻撃を実行してきた実績があります。
今回のCaptiveCrunchは、ホスピタリティ業界（ホテル・会議施設・シェアオフィスなど）のネットワークを踏み台にして、企業出張者を効率的に狙う設計が特徴です。攻撃の対象が「特定の組織」ではなく「移動中のビジネスパーソンが集まる場所」であることから、通常の企業ネットワーク防御では捕捉しづらい構造となっています。
手口——キャプティブポータル改ざんから多段階の認証情報窃取まで
CaptiveCrunchの攻撃フローは、大まかに3段階に分けられます。
1. 初期アクセス（キャプティブポータル悪用） 攻撃者は公共Wi-FiのDNS／HTTPトラフィックを操作し、正規のキャプティブポータルではなく、攻撃者が管理するインフラへユーザーをリダイレクトします。ブラウザの「Wi-Fi接続後の自動接続確認」機能もトリガーとして悪用され、ユーザーが積極的に何もしなくても偽画面が表示される構造です。
2. ソーシャルエンジニアリング（ClickFix） Microsoftは「ClickFix techniques」と呼ぶ手口を指摘しています。偽のドライバ修復画面やWindows Updateプロンプトなどを表示し、ユーザーに任意のマルウェアをダウンロード・実行させる誘導です。表示される画面は正規のシステム通知に酷似しており、Wi-Fi接続直後という文脈も相まって疑いを抱きにくい状況が作られます。
3. 認証フィッシング（Microsoft Entra ID） デバイスコード認証フローを悪用し、Microsoft Entra IDに対する認証情報の窃取が試みられます。企業のクラウド認証基盤に直接影響が及ぶ設計で、Microsoft 365環境のセッショントークン・SSOトークンまで到達し得る内容です。
使用されるマルウェア——CornFlake／ChocoShell／FruitStone
CaptiveCrunchで用いられるマルウェアは3種類報告されています。
- CornFlake（RAT）：Golang製のフル機能リモートアクセスツール。キーロギング、スクリーンショット取得、音声・動画監視、リムーバブルメディア監視、ブラウザ認証情報の窃取、そして
svchost32を名乗るWindowsサービスとして永続化する機能を持つ。 - ChocoShell（情報窃取器）：PowerShellベースのメモリ内実行型。ブラウザセッションクッキー、保存パスワード、Microsoft 365のSSOトークン、Wi-Fi認証情報などを盗み出す。複数のUACバイパス手法も搭載。
- FruitStone（C2パネル）：攻撃者が使用するWebベースの指揮統制パネル。Acuity Systemsに偽装したUIを持つ。
いずれもディスク上の痕跡を残しにくい設計と、企業システムでの検知回避を意識した実装が施されており、単発の対策では見抜きにくい構造です。
Microsoftが推奨する対策——ネットワーク・認証・行動の3層で防ぐ
Microsoftは大きく3つの観点で対策を推奨しています。
ネットワーク面
- 公共Wi-Fiよりモバイルホットスポットを優先利用する
- MDMでプロビジョニング済みのネットワーク以外への接続を制限する
認証面
- パスワードレス認証（パスキー）と多要素認証（MFA）の実装
- デバイスコード認証フローの利用制限
- サインインリスクポリシーによる、危険な認証への自動対応
行動認識面
- ClickFixスタイルのプロンプトや、コマンドライン実行を要求する画面に対する警戒喚起
- 従業員向けのフィッシング認識トレーニング
Microsoft Defenderは今回のキャンペーンに関連する挙動を「Suspicious activity linked to a Russian state-sponsored threat actor has been detected」というシグネチャで検知するよう更新されています。IoC（Indicators of Compromise）としては、C2サーバのIP（213.145.86.112）、悪用ドメイン（ms365-device.com、m365-owa.comなど）、ファイルハッシュがブログ内で公開されています。
日本企業への示唆——出張者ケアと社内ガイドラインの見直し
日本企業にとってのポイントは、CaptiveCrunchが「特定業界を狙った攻撃」ではなく「移動中の社員が誰でも遭遇し得る攻撃」である点です。国内出張・海外出張を問わず、ホテル・空港ラウンジ・会議施設のWi-Fi環境が攻撃面になり得るため、社内ガイドラインの見直しが実務的な備えになります。
具体的には、出張規程・情報セキュリティ規程における「公共Wi-Fi利用の原則禁止／モバイルホットスポット利用の推奨」の明文化、MDMポリシーによる社用PCの接続先制限、Microsoft Entra ID側のサインインリスクポリシー・条件付きアクセスポリシーの強化、パスキー移行の加速などが挙げられます。加えて、ClickFix型のフィッシング（Windows Update偽装、ドライバ更新偽装など）に対する従業員教育も並行して進める必要があります。海外出張の多い部門（営業・マーケ・法務・監査など）、経営層への短時間トレーニングは、優先度高く検討する価値があります。
ITトレンドでセキュリティ対策ソフトを見る！[【比較表あり】セキュリティソフト・ウイルス対策ソフト10選！ランキング（2026年版）]
まとめ
Microsoftが公表した「CaptiveCrunch」は、公共Wi-Fiのキャプティブポータルという「誰もが日常的に触れるインフラ」を悪用する国家関与の高度な攻撃キャンペーンです。認証情報の窃取からRAT・情報窃取器の配布までを一連のフローで実行する構造は、これまでの単発的なフィッシング攻撃とは一線を画す本格性を示しています。
日本企業にとっては、出張者ケアと認証基盤のガバナンス強化が、当面の主戦場となります。パスキー移行、条件付きアクセスの精緻化、公共Wi-Fi利用の原則見直し、ClickFix型フィッシングへの教育を、Microsoftの推奨対策を参考にしながら計画的に進めることが求められそうです。Microsoft Defenderの検知シグネチャや、公開されたIoCを社内SIEMに反映する運用も、初動対応として組み込んでおきたい要素です。
