- Microsoftから『レガシー認証をブロックしてください』と案内が来たけれど、何のこと？
- 複合機からのスキャンメールが、ある日突然送れなくなった
- 先進認証、モダン認証、基本認証……用語が多すぎてよくわからない
Microsoft 365のセキュリティ対策を調べていると、必ず出てくるのが「レガシー認証」という言葉です。
古い仕組みのため、乗っ取り被害の入口になりやすく、Microsoftは段階的に使えなくしてきました。
2026年12月末には、Exchange OnlineのSMTP AUTH（メール送信）でも基本認証が既定で無効になります。
- レガシー認証（基本認証）とは何か、先進認証（モダン認証）との違い
- レガシー認証が危険とされる理由と、Microsoft 365での廃止スケジュール
- 自社でレガシー認証が使われていないかを確認する手順
- セキュリティの既定値群・条件付きアクセスでブロックする方法
この記事では、中小企業の兼務IT担当者の方に向けて、レガシー認証の基本から確認・ブロックの手順までを、実際の管理センターの画面で解説します。
レガシー認証とは
レガシー認証とは、多要素認証（MFA）に対応していない、古い方式の認証のことです。
Microsoftの日本語ドキュメントでは「レガシ認証」と表記され、「先進認証を使用していないクライアント（Office 2010 クライアントなど）」や「IMAP、SMTP、POP3 などの古いメール プロトコルを使用しているクライアント」による認証要求を指すと説明されています。
レガシー認証の代表が「基本認証（Basic認証）」です。
基本認証は、IDとパスワードをそのままサーバーに送って本人確認をする仕組みで、パスワードさえ知られれば誰でもサインインできてしまいます。
先進認証（モダン認証）との違い
先進認証とは、OAuth 2.0という仕組みを使い、サインイン後は「トークン」と呼ばれる通行証で本人確認をする方式です。
モダン認証とも呼ばれ、多要素認証や条件付きアクセスと組み合わせて使えます。
| 項目 | レガシー認証（基本認証） | 先進認証（モダン認証） |
|---|---|---|
| 本人確認の方法 | IDとパスワードを毎回送る | サインイン後はトークンで確認する |
| 多要素認証 | 使えない | 使える |
| 条件付きアクセス | 細かい制御はできない | 場所・端末などで制御できる |
| 主な利用例 | 古いメールソフト、IMAP・POP3・SMTP、古い複合機 | 新しいOutlook、Microsoft 365 アプリ、ブラウザー |
レガシー認証が危険とされる理由
レガシー認証が危険なのは、多要素認証を設定していても、その保護をすり抜けてサインインできる「抜け道」になるためです。
多要素認証は、パスワードに加えてスマートフォンでの承認などを求めることで、パスワードが漏れても不正サインインを防ぐ仕組みです。
ところがレガシー認証は多要素認証に対応していないため、攻撃者はIMAPやSMTPなどの古い方式を使い、パスワードだけでサインインを試みます。
Microsoftの公式ドキュメントによると、パスワード スプレー攻撃（よくあるパスワードを多数のアカウントに試す攻撃）の99%以上、資格情報のスタッフィング攻撃（他サービスから流出したIDとパスワードを使い回す攻撃）の97%以上がレガシー認証を使っています。
全社員に多要素認証を設定していても、レガシー認証が残っていれば守りは完全ではありません。
Microsoft 365でのレガシー認証の廃止スケジュール
Exchange Onlineでは、ほとんどのプロトコルで基本認証がすでに無効化されており、残るSMTP AUTHも2026年12月末に既定で無効になります。
| 対象 | 状況 |
|---|---|
| Outlook、Exchange ActiveSync、POP、IMAP、EWS、Remote PowerShell など | すべてのテナントで基本認証は無効化済み。再有効化はできない |
| SMTP AUTH（メール送信）：2026年12月まで | 現状のまま利用できる（使用実績のないテナントでは無効化済み） |
| SMTP AUTH：2026年12月末 | 既存テナントで既定で無効になる。管理者は必要に応じて有効にできる |
| SMTP AUTH：2027年後半 | Microsoftが最終的な廃止日を発表する予定 |
2026年12月以降に作成された新しいテナントでは、SMTP AUTHの基本認証は最初から使えず、OAuth（先進認証）が前提になります。
影響を受けやすいのは、複合機のスキャン to メールや、業務システム・Webサイトの問い合わせフォームなど、IDとパスワードを設定してMicrosoft 365経由でメールを送っている機器やシステムです。
SMTP AUTHの詳しい対策は、次の記事で解説しています。
自社でレガシー認証が使われているか確認する方法
レガシー認証が使われているかどうかは、Microsoft Entra 管理センターのサインイン ログで確認できます。
ブロックする前に、必ず影響を受ける機器やユーザーを洗い出しておきましょう。
手順1：サインイン ログで「クライアント アプリ」のフィルターを追加する
Microsoft Entra 管理センター（entra.microsoft.com）で「Entra ID」→「監視と正常性」→「サインイン ログ」を開きます。
「フィルターの追加」をクリックし、「クライアント アプリ」を選んで「適用」をクリックします。
手順2：「レガシ認証クライアント」を選んで絞り込む
追加された「クライアント アプリ」のフィルターをクリックすると、「先進認証クライアント」と「レガシ認証クライアント」に分かれた選択肢が表示されます。
「レガシ認証クライアント」の項目をすべてチェックし、「適用」をクリックします。
一覧に表示されたサインインが、レガシー認証によるものです。
ユーザー名とアプリケーション、IPアドレスから、どの機器・システムが使っているかを特定します。
複合機や業務システムからの接続は、「ユーザーのサインイン (非対話型)」タブに記録されることもあるため、両方のタブを確認してください。
Microsoft 365導入支援の現場では、「使っていないはずの古い複合機が、退職者のアカウントでSMTP送信していた」というケースが見つかることがあります。
確認作業は、こうした忘れられた設定を見つける機会にもなります。
レガシー認証をブロックする方法
レガシー認証のブロック方法は、Microsoft Entra ID P1を持っているかどうかで2つに分かれます。
| 方法 | 必要なライセンス | 特徴 |
|---|---|---|
| セキュリティの既定値群 | 不要（無料） | オンにするだけでレガシー認証をまとめてブロックする。例外は作れない |
| 条件付きアクセス | Microsoft Entra ID P1以上 | 対象ユーザーや例外を細かく指定してブロックできる |
Microsoft Entra ID P1は、Microsoft 365 Business PremiumやE3に含まれています（E5には上位のP2が含まれます）。
Business Premiumで使えるセキュリティ機能は、次の記事で紹介しています。
方法1：セキュリティの既定値群でブロックする
セキュリティの既定値群とは、Microsoftが推奨する基本的なセキュリティ設定をまとめて適用する機能です。
多要素認証の登録の義務化などとあわせて、レガシー認証のブロックも含まれています。
Microsoft Entra 管理センターの「Entra ID」→「概要」を開き、「プロパティ」タブの下部にある「セキュリティの既定値群の管理」をクリックすると、現在の状態を確認できます。
2019年10月22日以降に作成されたテナントでは、セキュリティの既定値群が既定で有効になっている場合があります。
有効になっていると、Microsoft 365 管理センターの「設定」→「組織設定」→「先進認証」にも、基本認証がブロックされている旨が表示されます。
注意したいのは、セキュリティの既定値群が有効なテナントでは、SMTP AUTHもすでに使えない状態になっている点です。
複合機などでSMTP AUTHが必要な場合、既定値群を無効にするのではなく、別の送信方法（直接送信やSMTPリレー）を検討してください。
方法2：条件付きアクセスでブロックする
条件付きアクセスとは、「誰が・どこから・どの方法で」サインインしたかに応じて、アクセスを許可・ブロックする仕組みです。
Microsoft Entra ID P1以上で利用できます。
条件付きアクセスの仕組みやセキュリティの既定値群との違い、ポリシーの作り方は「条件付きアクセスとは？できること・必要なライセンス・設定方法を画像付きで解説」で詳しく解説しています。
条件付きアクセスには、レガシー認証をブロックするためのテンプレートが用意されています。
Microsoft Entra 管理センターの「Entra ID」→「条件付きアクセス」→「ポリシー」で「新しいポリシーをテンプレートから」をクリックし、「レガシ認証をブロックする」を選びます。
このテンプレートは、条件の「クライアント アプリ」で「Exchange ActiveSync クライアント」と「その他のクライアント」を対象にし、アクセスをブロックする設定です。
いきなり有効にすると、気づいていなかった機器が止まるおそれがあるため、最初は「レポート専用」モードで作成し、サインイン ログで影響を確認してから「オン」に切り替えるのが安全です。
なお、緊急時に管理者がサインインできなくなる事態に備えて、緊急用の管理者アカウントはポリシーの対象から除外しておくことが推奨されています。
レガシー認証をブロックする前のチェックリスト
ブロックで業務を止めないために、次の点を事前に確認しておきましょう。
- サインイン ログで利用者を洗い出したか：
対話型と非対話型の両方のタブを確認する - 複合機・業務システムのメール送信方法を確認したか：
SMTP AUTHを使っている機器は、OAuth対応への切り替えや直接送信・SMTPリレーを検討する - 古いOfficeやメールソフトが残っていないか：
Office 2010など先進認証に対応していないクライアントは、新しいバージョンに入れ替える - IMAP・POP3で受信している端末がないか：
スマートフォンの標準メールアプリなどは、OutlookアプリやExchange対応の設定に変更する - 条件付きアクセスはレポート専用から始めたか：
影響を確認してから有効にする
Microsoft 365を導入したばかりの段階でやっておきたい対策は「Microsoft 365導入後、まずやるべき4つのセキュリティ対策と設定手順」でまとめています。
日々のトラブル、まずこの一冊で解決しませんか？
レガシー認証をブロックしたあとは、「メールが送れない」「サインインできない」といった問い合わせが一時的に増えることがあります。
Microsoft 365支援のプロが、現場で実際に寄せられるよくある質問と解決策を厳選してまとめた「トラブルシューティング大全」をご用意しました。
▼資料ダウンロードはこちら 『社内からの「これどうやるの？」を9割削減する Microsoft 365 トラブルシューティング大全』
よくある質問（FAQ）
- Qレガシー認証とは何ですか？
- A
多要素認証に対応していない古い方式の認証のことです。
Office 2010などの古いOfficeや、IMAP・POP3・SMTPといった古いメールのプロトコルで、IDとパスワードをそのまま送ってサインインする「基本認証」が代表例です。
- Qモダン認証とは何ですか？
- A
先進認証とも呼ばれる、OAuth 2.0を使った新しい認証方式です。
サインイン後はトークンで本人確認をするため、多要素認証や条件付きアクセスと組み合わせて安全にサインインできます。
現在のMicrosoft 365 アプリや新しいOutlookは、モダン認証を使っています。
- Qモダン認証とレガシー認証の違いは何ですか？
- A
最大の違いは、多要素認証に対応しているかどうかです。
レガシー認証はパスワードだけでサインインできるため、パスワードが漏れると不正サインインを防げません。
モダン認証は多要素認証や条件付きアクセスと組み合わせられるため、パスワードが漏れても被害を防ぎやすくなります。
- QSMTPの基本認証とは何ですか？
- A
メールを送信するSMTPで、IDとパスワードを使って送信元を確認する方式です。
Exchange Onlineでは「SMTP AUTH」と呼ばれ、複合機や業務システムからのメール送信でよく使われています。
2026年12月末には、既存のテナントでもSMTP AUTHの基本認証が既定で無効になります。
- QMicrosoft 365が突然使えなくなったのですが？
- A
古いメールソフトや複合機などが、レガシー認証でMicrosoft 365に接続していた可能性があります。
サインイン ログで「レガシ認証クライアント」に絞り込み、該当する接続がないか確認してください。
セキュリティの既定値群や条件付きアクセスが有効になった直後であれば、それによってブロックされていると考えられます。
まとめ
レガシー認証は、多要素認証をすり抜ける「抜け道」になるため、早めに使われていない状態にしておくことが大切です。
- レガシー認証とは、多要素認証に対応していない古い方式の認証。代表は基本認証
- パスワード スプレー攻撃の99%以上がレガシー認証を使っている
- Exchange Onlineの基本認証はほぼ無効化済みで、SMTP AUTHも2026年12月末に既定で無効になる
- 利用状況は、サインイン ログの「クライアント アプリ」フィルターで確認できる
- ブロックは、ライセンス不要のセキュリティの既定値群か、Entra ID P1の条件付きアクセスで行う
まずはサインイン ログでレガシー認証が使われていないかを確認するところから始めてみてください。
他社はMicrosoft 365のセキュリティ対策をどう進めているのか知りたい方へ レガシー認証の対策が済んだら、次はMicrosoft 365全体をどう活用していくかが気になるところです。
そんな疑問をお持ちでしたら、ぜひ弊社の「導入成功事例集」をご覧ください。
参考資料
- Microsoft Learn「Microsoft Entra ID のセキュリティの既定値を構成する」https://learn.microsoft.com/ja-jp/entra/fundamentals/security-defaults
- Microsoft Learn「条件付きアクセスでレガシー認証をブロックする」https://learn.microsoft.com/ja-jp/entra/identity/conditional-access/policy-block-legacy-authentication
- Microsoft Learn「Exchange Online での基本認証の廃止」https://learn.microsoft.com/ja-jp/exchange/clients-and-mobile-in-exchange-online/deprecation-of-basic-authentication-exchange-online
- Microsoft Learn「Exchange Online で SMTP AUTH を有効または無効にする」https://learn.microsoft.com/ja-jp/exchange/clients-and-mobile-in-exchange-online/authenticated-client-smtp-submission
- Exchange Team Blog「Updated Exchange Online SMTP AUTH Basic Authentication Deprecation Timeline」https://techcommunity.microsoft.com/blog/exchange/updated-exchange-online-smtp-auth-basic-authentication-deprecation-timeline/4489835
Microsoft 365に関するご相談やお悩みがございましたら、ぜひ株式会社WITHWITまでお気軽にお問い合わせください。
数あるクラウドサービスの中でMicrosoft 365 に特化してきたからこそ導入前から導入後の定着に至るまで、幅広いご相談に対応いたします。
