【Microsoft Authenticator】多要素認証でサインインが危険と表示される時の場所情報と身に覚えの確認

Microsoft Authenticatorを使った多要素認証のサインイン時に、「危険なサインイン」や「身に覚えのないサインイン」と表示されることがあります。この警告は、Microsoftが通常とは異なる場所やデバイスからのアクセスを検出した場合に表示されるもので、実際に不正アクセスの可能性があります。しかし、会社PCでVPNを利用している場合や、出張先からのアクセスなど、正規の利用でも警告が出ることがあります。この記事では、警告が表示された際の原因の切り分け方、場所情報の確認方法、身に覚えのないサインインかどうかの判断基準を具体的に解説します。落ち着いて対処できるように、手順を確認していきましょう。

1. 「危険なサインイン」表示の仕組みと原因

Microsoft Authenticatorの多要素認証で「危険なサインイン」と表示されるのは、Azure AD Identity Protection(またはMicrosoft Entra ID Protection)がリスクを検出した場合です。この機能は、ユーザーのサインインパターンを学習し、通常と異なる動作をスコア化して警告します。主なリスク検出の種類は以下の通りです。

• 不審な場所からのサインイン: 普段利用しない国や地域からのアクセス。IPアドレスの地理位置情報に基づきます。
• 匿名のIPアドレス: Torや公開VPNなど、身元を隠すサービスのIPアドレスからのアクセス。
• マルウェアに関連するIPアドレス: 既知のボットネットやマルウェア感染端末からのアクセス。
• 通常とは異なるデバイス: 新しいデバイスやOSのバージョンが異なる場合。
• ありえない移動: 短期間に遠く離れた場所から連続してサインインした場合。

これらのリスク検出は、Microsoftが収集する膨大なテレメトリデータに基づいて機械学習で判定されます。そのため、正規のユーザーでも条件によっては「危険」と判定されることがあります。特に会社員の場合、出張での海外アクセス、自宅からのVPN接続、モバイル回線のIPアドレス変動などが原因で警告が出ることが多いです。

よくある原因パターン

• VPN接続: 会社のVPN経由でアクセスすると、VPNサーバーの地域(例えば東京)が表示されるが、実際のロケーションは海外の出張先という場合。一見矛盾した位置情報がリスクと判断されることがあります。
• モバイルデータ通信: スマートフォンのテザリングやモバイルWi-Fiルーターを使うと、割り当てられるIPアドレスが頻繁に変わり、普段と異なる場所として検出されることがあります。
• クラウドサービス経由のアクセス: CitrixやVDIなどのリモートデスクトップ経由でアクセスすると、接続元がデータセンターのIPアドレスになり、不審と判定されることがあります。
• パスワード漏洩: 過去に別のサービスでパスワードが流出し、同じパスワードを使い回している場合、レインボーテーブル攻撃などで不正アクセスされるリスクがあります。

2. 場所情報とサインイン履歴の確認手順

最初に、自分のアカウントで実際にどのようなサインインがあったのかを確認します。以下の手順で「サインイン履歴」を確認しましょう。この情報は、身に覚えのないアクセスかどうかを判断する重要な材料です。

1. Webブラウザで https://mysignins.microsoft.com にアクセスします。このURLはMicrosoftアカウントの「サインインアクティビティ」ページです。
2. 会社の職場アカウント(例: user@company.com)でサインインします。多要素認証が求められた場合は、Authenticatorで承認してください。
3. ページが開くと、最近のサインインの一覧が表示されます。各項目には「日時」「アプリ」「状態」「IPアドレス」「場所」などが記載されています。
4. 「状態」列に「成功」または「失敗」と表示されます。警告が出たサインインは「成功」でも、横に「危険」や「リスクあり」のアイコンが付いている場合があります。
5. 該当するサインインをクリック(またはタップ)して詳細を開きます。詳細画面では「場所情報」や「デバイス」「使用されたブラウザ」などが確認できます。
6. 特に「場所」の情報(国、都市、緯度経度)とIPアドレスをメモしておきます。この情報を元に、自分がその時間にアクセスしたかどうかを検討します。

もし「サインインアクティビティ」ページ自体にアクセスできない場合は、管理者に問い合わせてください。Azure AD P2ライセンスやIdentity Protectionの設定が必要な場合があります。

場所情報の解釈のポイント

表示される場所情報は、IPアドレスを元にした地理位置データベースによる推定です。そのため、実際の位置と異なる場合があります。例えば、スマートフォンのモバイルネットワークを使うと、IPアドレスの割り当て拠点(東京)が表示されるが、実際は大阪で作業していた、ということが起こり得ます。また、会社のVPNを使うと、VPNサーバーの場所(本社の所在地)が表示されるため、出張先からVPN接続した場合、本社所在地と出張先の国が異なると「ありえない移動」と判定される可能性があります。

状況	表示される場所	実際の場所	リスク判定
自宅から会社VPN経由でアクセス	会社所在地(例:東京)	自宅(例:横浜)	通常はリスクなし。ただし自宅のIPが新規の場合は低リスク。
海外出張先からモバイル回線でアクセス	現地の国(例:アメリカ)	同左	リスク中～高。普段と異なる国、かつ短期間での移動が検出される場合。
自宅からモバイルテザリングでアクセス	モバイルキャリアの拠点(例:大阪)	自宅(例:東京)	低リスク。IPアドレスが変動するため警告が出やすい。
実際に不正アクセスされた場合	攻撃者の地域(例:中国、ロシア)	不明	高リスク。身に覚えのない場所、時間帯が多い。

3. 身に覚えのないサインインかどうかの判断基準

サインイン履歴を確認しても、自分がアクセスしたのかどうか判断に迷うことがあります。以下の基準で確認し、身に覚えのないサインインかどうかを切り分けてください。

• 日時と自分の行動を照合する: その時間帯に自分がPCやスマートフォンを操作していたか、睡眠中だったかを思い出します。特に深夜や早朝のアクセスは要注意です。
• 使用したアプリを確認する: 「Outlook Web」「Teams」「SharePoint Online」など、会社で利用するアプリであれば、自分がアクセスした可能性が高いです。全く知らないアプリ(例:Azure AD 管理センター)へのアクセスは、不正の可能性があります。
• IPアドレスの所有組織を確認する: サインイン詳細に表示されるIPアドレスを、whoisサイト(例:ARIN RDAP Search)で検索し、ISPや組織を調べます。会社のVPNや自宅のプロバイダのIPであれば、正当なアクセスである可能性が高いです。一方、海外のクラウドサービスや不明な組織のIPであれば、不正を疑います。
• デバイス情報を確認する: 「デバイス」欄に自分の端末名(例:DESKTOP-XXXXX)が表示されるか確認します。自分の端末であれば、覚えがないアクセスでも誤検知の可能性があります。
• ブラウザとOSの情報を確認する: 「サインイン元」にブラウザのユーザーエージェントが表示されます。「Chrome 120.0」「Windows 10」など、自分が使っているものと一致するか確認します。全く異なるOS(例:Linux, iPhone)からのアクセスは、不正の可能性があります。

失敗パターン:判断を誤りやすいケース

以下のようなケースでは、身に覚えがないと判断してしまいがちですが、実際には正規のアクセスであることが多いです。

• パスワードマネージャーや自動サインイン: ブラウザやパスワードマネージャーが自動でサインインした場合、ユーザーが意識していないことがあります。特にバックグラウンド同期や起動時に自動ログインする設定があると、知らない間にサインインが発生します。
• Microsoft 365 デスクトップアプリ: Outlook、WordなどのOfficeアプリがバックグラウンドで認証を更新する際に、サインイン履歴に残ります。この場合、アプリ名に「Microsoft Office」などと表示されます。
• Intune や MDM のポリシー同期: 会社のモバイルデバイス管理(MDM)がポリシーを更新するためにサインインすることがあります。これもユーザーが意識しないアクセスです。
• 共有デバイス: 会社で共有しているPCやキオスク端末を使った場合、他のユーザーが操作したサインインが自分の履歴に残ることはありません(通常、アカウントは個別)。ただし、同じ端末を借りて別のユーザーが操作したと誤解するケースはあります。

一方で、次のような特徴がある場合は、不正アクセスの可能性が高いです。

• 知らない国(中国、ロシア、ナイジェリアなど)からのアクセス
• 深夜帯(午前2時～5時)のアクセス
• 全く知らないデバイス(「iPhone 7」「Samsung Galaxy S8」など古い機種)からのアクセス
• 短時間に複数の国からのアクセス(例:10分後にロシアと米国)

4. 対処方法:不正アクセスが疑われる場合の行動

身に覚えのないサインインが不正アクセスである可能性が高い場合、迅速に対処する必要があります。以下の手順でアカウントを保護してください。

1. 直ちにパスワードを変更する: 会社のパスワード変更ポリシーに従い、強力なパスワードに変更します。Microsoft 365の場合は、パスワードリセットサイトから変更できます。管理者がセルフサービスパスワードリセット(SSPR)を有効にしている場合のみ可能です。
2. 多要素認証の設定を確認・更新する: Authenticatorアプリで別のデバイスに登録し直すか、電話番号や別の認証方法を追加します。特に、登録済みのデバイスに心当たりがない場合は削除します。
3. サインイン履歴から「このアクセスを承認しない」を報告する: Microsoftの「サインインアクティビティ」ページでは、各サインインに「これは私です」や「これは私ではありません」というリンクがあります。「これは私ではありません」をクリックすると、Microsoftに不正アクセスとして報告されます。これにより、今後のリスク検出が改善される可能性があります。
4. 管理者に通知する: 会社のIT管理者またはセキュリティ担当者に、不正アクセスの可能性がある旨を報告します。管理者はAzure ADでユーザーのアクティビティを調査し、条件付きアクセスポリシーの調整やアカウントの一時停止などの対応を取れます。
5. 全デバイスでサインアウトする: パスワード変更後、ブラウザやアプリで保存されているセッションをクリアするために、すべての端末でサインアウトします。「すべてのセッションを無効にする」オプションがあれば活用します。

管理者に伝えるべき情報

管理者に問い合わせる際は、以下の情報をまとめて伝えるとスムーズです。

• 警告が表示された日時と、その時の利用状況(どのサービスを使っていたか)
• サインイン履歴に表示された国、IPアドレス、デバイス情報
• 自分が「身に覚えがない」と判断した理由
• パスワード変更や多要素認証の再設定を行ったかどうか
• 使用していたVPNやモバイルネットワークの有無

管理者はこれらの情報をもとに、Azure ADのリスクイベントを確認し、必要に応じてユーザーのリスクレベルをリセットしたり、条件付きアクセスポリシーを調整したりします。

5. 警告が出ないようにするための予防策

「危険なサインイン」の警告を完全に防ぐことはできませんが、誤検知を減らし、不正アクセスのリスクを下げるための対策を以下にまとめます。

• 場所情報を設定に登録する: Microsoft Authenticatorアプリ内で「場所の追加」ができる場合があります。出張先や頻繁に利用する場所を事前に登録しておくと、リスクが低減されることがあります。ただし、この設定は全ての組織で有効とは限りません。
• VPN利用時は同じ場所から接続する: 可能であれば、いつも同じVPNサーバーを経由するように設定すると、IPアドレスが固定されやすくなります。ただし、会社のポリシーによります。
• 出張前に管理者に連絡する:
• 定期的にパスワードを変更する: パスワード漏洩のリスクを減らすために、会社のポリシーに従って定期的にパスワードを変更します。使い回しは避けてください。
• 多要素認証を常に最新の状態に保つ: Authenticatorアプリをアップデートし、スマートフォンのOSも最新に保つことで、セキュリティホールを塞ぐことができます。

6. よくある質問

Q1: サインイン履歴に「成功」と表示されているのに「危険」と出るのはなぜですか?

認証自体は成功しているが、リスクが検出された場合に「成功」かつ「危険」と表示されます。例えば、正しいパスワードと多要素認証でログインしたが、場所が異常と判定された場合です。この場合、そのサインインは成功していますが、今後同じ状況が続くとブロックされる可能性があります。

Q2: 自分のアクセスなのに「危険」と表示された場合、どうすればよいですか?

まずはサインイン履歴を確認し、該当するアクセスが自分のものであることを確認します。その上で、そのサインインに対して「これは私です」と報告してください。これにより、Microsoftのリスクモデルが学習し、同じようなアクセスが将来危険と判定されにくくなります。

Q3: 警告が頻繁に出る場合、管理者に何を伝えればよいですか?

頻繁に出る場合は、自分の利用パターン(頻繁に場所が変わる、VPNを使う、出張が多いなど)を説明し、条件付きアクセスポリシーの調整を依頼してください。また、サインイン履歴のスクリーンショットを見せると、管理者が状況を把握しやすくなります。

Q4: 身に覚えのないサインインがあったが、パスワードは漏洩していないと思う。どうすれば?

パスワード漏洩以外にも、トークンリプレイ攻撃やセッションハイジャックの可能性があります。念のためパスワードを変更し、多要素認証の登録デバイスも確認してください。また、管理者に報告し、Azure ADのリスクイベントを詳細に調査してもらうことをおすすめします。

Q5: 会社のポリシーで、危険なサインインがあったらすぐに報告するように言われている。報告先は?

通常はITヘルプデスクまたはセキュリティ対策チームに報告します。会社によっては、セキュリティインシデント報告フォームが用意されている場合があります。メールで報告する場合は、サインイン履歴の詳細情報を添付してください。

7. まとめ

Microsoft Authenticatorで「危険なサインイン」と表示された場合、まずは落ち着いてサインイン履歴を確認し、場所情報と自分の行動を照合してください。VPNやモバイル回線の利用が原因で誤検知が発生することは珍しくありません。一方、本当に身に覚えのないアクセスであれば、迅速にパスワード変更と管理者への報告を行いましょう。また、予防策として出張前の事前連絡や定期的なパスワード変更を心がけることで、リスクを低減できます。日頃からサインイン履歴を定期的にチェックする習慣をつけると、不正アクセスの早期発見につながります。

👥

Teams/Outlookトラブル完全解決データベース サインイン、接続エラー、メール送受信の不具合など、特有のトラブル解決策を網羅。困った時の逆引きに活用してください。

🔐

会社アカウント・認証トラブル完全解決データベース 職場または学校アカウント、MFA、Authenticator、VPN、権限、会社ポリシーで止まる問題を横断的に確認できます。