Microsoft Authenticator、改造端末を検知して仕事用アカウントを強制削除へ
Microsoft Authenticatorが、脱獄やルート化された端末で職場・学校アカウントの使用を段階的に遮断する。対象はMicrosoft Entra ID資格情報のみで、個人アカウントやサードパーティの2FAコードは対象外だ。Microsoftが管理ポータルで対象範囲を明確にしたことで、3月の初報以来続いていた「結局、誰が困るのか」という疑問に一応の答えが出た。
対象はEntra IDのみ。個人アカウントは無関係
対象になるのは、Microsoft Entra ID（旧Azure Active Directory）の資格情報だけだ。Microsoftは公式サポートページでこの点を明示している。会社・学校・大学から発行されたMicrosoftアカウントでMicrosoft 365、Teams、Outlook、Azure、Intuneなどにログインしている場合に影響が及ぶ。
個人のMicrosoftアカウント（Outlook.comやHotmail）は対象外で、Authenticatorに登録したサードパーティの2FAコードにも制限はかからない。GitHubやCloudflare、FacebookなどのQRコードで追加したワンタイムパスワードは、端末がルート化されていても従来通り生成される。
ただし例外がある。サードパーティのサービスであっても、Entraアカウント経由のシングルサインオンで接続している場合は制限の対象になりうる。たとえば、GitHubに「Microsoftでサインイン」を使って会社のEntraアカウントでログインしているなら、そのEntra資格情報がブロックされる可能性がある。
Microsoftは、個人アカウントやサードパーティサービスへの拡大について現時点で発表していない。
| アカウントの種類 | 制限内容 |
|---|---|
| 職場・学校アカウント （Entra ID） | 3段階で制限（警告→ブロック→削除） |
| 個人Microsoftアカウント | 対象外 |
| サードパーティ 2FAコード | 対象外。QRコード追加分は継続利用可 |
| Entra SSO経由の 外部サービス | Entra資格情報の経路が対象になりうる |
3段階で進む。最終段階では資格情報が自動削除される
ロールアウトは3つのフェーズに分かれている。
第1フェーズ（警告モード）では、iOSなら「Your device is jailbroken」、Androidなら「Your device is rooted」という警告がアプリ内に表示される。この段階では引き続きアカウントを使用できる。ホーム画面にバナーが常時表示されるため、見落とすことはない。
第2フェーズ（ブロックモード）に入ると、新しいEntra資格情報の登録やサインインが遮断される。アプリは起動するが、仕事用アカウントに関わる操作は一切できなくなる。
第3フェーズ（ワイプモード）で、端末に残っているEntra資格情報が自動的に削除される。
各フェーズの間隔は約1か月。Androidは2026年2月末からロールアウトが始まっており、iOSは4月から開始された。Microsoftは全体の完了時期を2026年7月としている。
オプトアウトはできない
この機能はMicrosoftがsecure by default（既定で安全）と呼ぶ設計で、管理者に求められる操作はなく、無効化する手段もない。テナント単位でもユーザー単位でも除外はできない。
Microsoftの公式文書には「この機能はすべての顧客に対して既定で有効であり、オプトアウトの手段はありません」と記されている。
端末の脱獄やルート化を解除するか、改造していない別の端末を用意する以外に回避策はない。
GrapheneOSが巻き添えになる可能性
この仕組みの問題点は、何をもって「ルート化された端末」とするかをMicrosoftの検出ロジックが一方的に決めることだ。
GrapheneOSは、Google Pixel向けに開発されたセキュリティ特化のAndroid OSで、ルート化されていない。OSの設計としてはむしろ標準のAndroidより堅牢だ。しかしMicrosoftは検出方法を公開しておらず、「ローカルのヘルスチェックと改ざん防止チェックを組み合わせている」とだけ説明している。報道ではGoogle Play Integrity APIへの依存が指摘されており、Googleが認定していないカスタムROMは「非準拠」と判定されかねない。
Microsoftの広報は「Microsoft AuthenticatorはGrapheneOS上で公式にサポートされておらず、ルート化されたと検出されたGrapheneOSデバイスでは、Entraアカウントが将来的に影響を受ける可能性があります」と述べている。
セキュリティを高めるために標準のAndroidからGrapheneOSに移行した人が、この検出機能によって仕事の認証を失う。検出ロジックがGoogle Play Integrity APIに依存しているのであれば、この矛盾は構造的に解消されない。Androidのハードウェアアテステーションを使えばGrapheneOSをホワイトリストに載せることは技術的に可能だが、Microsoftがそれを採用する見込みは現時点で示されていない。
確認と対処
仕事用のMicrosoftアカウントをAuthenticatorで認証しているなら、まず端末のルート化・脱獄の有無を確認する。Android端末では、開発者オプションをオフにしただけではルート化は解除されない。端末をストックファームウェアに戻す必要がある。GrapheneOSやCalyxOSなどのカスタムROMを使っている場合、検出される可能性がある。
影響を受けた場合の代替手段として、FIDO2セキュリティキーや、組織のIT部門が許可している別の認証アプリ（Google Authenticator、Aegis等）への移行が考えられる。ただし、組織がMicrosoft Authenticatorを必須としている場合は、改造していない端末を用意する以外に選択肢がない。
参照元：Jailbreak/root detection in Microsoft Authenticator
