Helixグループ、SharePointの脆弱性悪用で企業データを標的に

デバイスコード認証とMFAを悪用、SharePointから情報を窃取

データ窃取グループHelixが、SharePoint環境を標的とした攻撃で企業データを窃取していることが確認された。同グループは、音声フィッシング（Vishing）やデバイスコード認証、さらに多要素認証（MFA）の運用上の隙を悪用し、組織内の機密情報へ不正にアクセスしている。

2026年7月9日に公開されたセキュリティレポートによると、Helixはソーシャルエンジニアリングを用いて被害者の信頼を獲得し、発信者IDや管理者を装って接触する。ユーザーをデバイスコード認証へ誘導し、認証セッショントークンを取得することで、パスワードを入力させることなくアカウントへのアクセスを確立する手口が確認されている。

さらに、攻撃者は正規のMFA認証デバイスを標的アカウントへ登録することで永続的なアクセスを維持し、その後、SharePoint内のデータをスクリプトによって大量に取得する。データ収集にはPython-requestsのユーザーエージェントが利用され、住宅IPとホスティングIPを使い分けることで検知を回避している。

また、Helixの攻撃手法には、BlackFileやShinyHuntersで確認されたインフラや戦術との共通点もみられ、既存の攻撃エコシステムとの関連性が指摘されている。

組織は、デバイスコード認証の利用制限または無効化を検討するとともに、不審なドメインや異常な認証イベントの監視を強化することが重要だ。また、MFA登録手続きの保護を徹底し、SharePoint環境における異常なデータ取得や大量ダウンロードを継続的に監視することで、Helixのようなアイデンティティを悪用する攻撃への対策を強化する必要がある。