AWSアカウントを狙うAiTMフィッシング攻撃確認

AiTMフィッシングとタイポドメインを利用したAWSアカウント奪取の試み

サイバー犯罪者が、AiTM（Adversary-in-the-Middle）型フィッシングツールとタイポドメインを組み合わせ、AWSアカウントを狙う攻撃を展開していることが確認された。攻撃者はAWSユーザーに対し、メールセキュリティ警告を装ったメッセージを送り、偽のAWS Management Consoleページへ誘導する手口を用いている。このフィッシング活動は2月末頃から活発化しているとみられる。

被害者が偽サイトに認証情報を入力すると、攻撃者はそれをリアルタイムで傍受し、AWSコンソールへの不正アクセスを試みる。Datadogの調査によれば、認証情報が入力されてからわずか20分後に、Mullvad VPNの出口ノードを経由してAWSアカウントへログインが行われた事例も確認されている。これは攻撃者が認証情報を検証する自動化ツールを利用し、侵害状況を継続的に監視している可能性を示している。

また、このキャンペーンではソーシャルエンジニアリングと短期間で切り替えられるフィッシングインフラが組み合わされており、攻撃者は検知を避けるため多数のフィッシングドメインを事前に登録している。調査では、Microsoft 365やApple iCloudを装うドメインと関連付けられたフィッシングサーバーも確認されており、複数の攻撃者グループが同じフィッシングキットを共有している可能性が指摘されている。

専門家は対策として、AWSのログインアクティビティを継続的に監視することに加え、ハードウェアセキュリティキーなど強固な多要素認証（MFA）の導入を推奨している。また、クラウドサービスの警告を装ったフィッシングメールへの警戒を高めるため、ユーザー教育を強化することも重要だとされる。