Microsoft、クラウドアカウントを狙うフィッシング攻撃を報告 MFAを回避して内部データにアクセス
Microsoft、クラウドアカウントを狙う複数の攻撃手法を報告
Microsoftは最近、クラウドアカウントや企業の認証環境を標的とする複数の攻撃手法について報告した。確認された事例には、金融詐欺を目的としたソーシャルエンジニアリングや、Passkeyに関連するフィッシング攻撃などが含まれている。
金融詐欺を目的としたキャンペーンでは、攻撃者が企業のCEOを装い、100万件を超える詐欺メールを送信した。標的となった企業の財務担当者に偽の請求書を提示し、攻撃者が指定した口座への送金を誘導する手口が用いられていた。
経営幹部を装いAIでフィッシングメールを作成
攻撃者はAIを利用してメールのテンプレートを作成し、受信者に合わせて内容を調整したフィッシングメールを送信していた。企業の経営幹部から送られた正規のメールであるかのように見せかけるため、偽装ドメインを使用するほか、偽の請求書や過去のやり取りを装ったメールスレッドを組み込み、受信者からの信頼を得る手法が用いられていた。
攻撃に使用されたドメインとして「service-nowinc.com」や「domainlify.net」が確認されている。こうした攻撃は、主に米国内の複数の業種にわたる企業を標的としていた。
認証方法を追加してクラウドアカウントを侵害
2つ目のキャンペーンでは、複数のクラウドアカウントを標的とした攻撃が確認された。攻撃者は不正なログインを通じてアカウントへのアクセスを確保した後、新たな認証方法を追加し、アカウントの制御権を取得して大量のデータを収集していた。
攻撃では、ワンタイムパスワード（OTP）や多要素認証（MFA）による保護を回避するための誘導も行われていた。攻撃者は個人ユーザーやITサポート担当者を装って標的との信頼関係を構築し、認証に必要な操作を促すことでアカウントへのアクセスを拡大していた。
フィッシングと音声通話を組み合わせて認証を突破
この攻撃活動は、「Cordial Spider」など他のサイバー犯罪グループが使用する手法との類似性も確認されている。攻撃者は関連するインフラを利用し、フィッシングパネルや音声通話を利用したソーシャルエンジニアリングを組み合わせて標的を誘導する。
また、「<組織名>.<悪性ドメイン>.com」の形式で標的組織の名称を含むサブドメインを作成し、正規のサービスであるかのように見せかける手法も使用していた。こうしたインフラを利用しながら認証プロセスを突破し、侵害したアカウントへの継続的なアクセスを確保していた。
Microsoftの調査によると、少なくとも1件の事例では、攻撃者が侵害したアカウントを通じてSharePoint OnlineとOneDriveにアクセスし、組織内部のデータを閲覧していたことが確認された。攻撃者はMFAによる保護を回避した後、被害者のアカウントに追加の認証方法を設定することで、継続的にアクセスできる状態を確保していた。
Graph APIを含むクラウド環境の挙動監視が検知の手掛かりに
今回確認された攻撃では、侵害したアカウントを利用してクラウドサービスへのアクセスを拡大する動きが確認されており、Microsoft Graph APIを含むクラウド環境での挙動を継続的に監視することが検知の手掛かりとなる。個々のAPI呼び出しだけでなく、認証方法の追加やSharePoint Online、OneDriveへのアクセス、大量のデータ取得といった一連の活動を関連付けて確認することで、不正なアカウント利用を特定しやすくなる。
また、新たな認証方法の登録や通常とは異なるログイン、クラウドストレージへの不審なアクセスなどを監視し、フィッシングやソーシャルエンジニアリングによって侵害されたアカウントを早期に特定できる体制を整えることが、同様の攻撃への対応につながる。
