Azure CLI狙う大規模パスワードスプレー攻撃、Microsoft 365アカウント78件が侵害
8,100万件超のログイン試行を確認、64組織・78アカウントに被害
Microsoft 365環境を標的とした大規模なパスワードスプレー攻撃が確認された。攻撃ではAzure CLIの認証経路が悪用され、セキュリティ企業Huntressによると、6月12日から21日にかけてMicrosoft顧客のアカウントを狙ったログイン試行が8,100万件以上観測された。
この攻撃により、64の組織で合計78件のMicrosoft 365アカウントが侵害されたことが確認されている。さらに、6月22日には新たに23社が被害を受けたことも判明しており、攻撃の影響が拡大している。
複数の自律システムを悪用、パスワードスプレー攻撃が急増
Huntressによると、今回確認されたログイン試行の大半は、インターネットホスティング事業者LSHIY LLCに関連する自律システムAS32167を経由して行われていた。攻撃者は複数の自律システム（AS）を利用することでアクセス元を分散させ、認証情報を狙うパスワードスプレー攻撃を実行していたとみられる。
また、この種の攻撃は過去6カ月間で約155倍に増加しており、攻撃者が認証保護メカニズムを回避するため、多様なネットワークインフラを戦略的に悪用している実態が浮き彫りとなった。組織に対する認証情報窃取の脅威は今後も拡大する可能性がある。
OAuth ROPCフローを悪用、MFA設定の不備も標的に
今回の攻撃では、侵害済みのパスワードリストを利用し、OAuth Resource Owner Password Credentials（ROPC）フローを通じて認証情報の有効性を検証する手法が用いられた。攻撃者は、有効なユーザー名とパスワードの組み合わせを取得すると、ユーザー委任トークンを発行して不正アクセスを試みていた。
Huntressは、一部の組織では多要素認証（MFA）の設定が不十分、または適用されていなかったことが被害拡大の要因になったと指摘している。適切に構成されていない認証環境では、ROPCフローを悪用した攻撃によってアカウントが侵害されるリスクが高まるとして、MFAの全面適用と認証ポリシーの見直しを呼びかけている。
