日常的な信頼に基づいて構築された攻撃の波

8月を通じて、セキュリティ研究者らは米国と欧州で発生した一連のサイバー攻撃を追跡した。これらの攻撃は、特殊なマルウェアやゼロデイ脆弱性に依存するものではなかった。その代わりに、攻撃者は企業が毎日使用するツール、すなわちMicrosoft 365ログイン、リモート監視・管理（RMM）ソフトウェア、そして日常的な業務文書を、侵害への経路へと変えたのだ。

このキャンペーンが注目に値するのは、まさにこの点にある。ファイアウォールを突破したり、未パッチのソフトウェアを悪用したりするのではなく、攻撃者は従業員が毎朝ログインするプラットフォームや、ITシステムをリモート管理するベンダーに対する信頼に依存した。その信頼がひとたび悪用されると、最も効果的な攻撃表面の一つとなる。

Microsoft 365セッションハイジャックの仕組み

このキャンペーンの中心にあるのは、セッションハイジャックと呼ばれる手法だ。攻撃者はユーザー名とパスワードを直接盗むのではなく、ユーザーが正常にログインし多要素認証を完了した後にMicrosoft 365が生成する認証トークン、すなわち「セッションクッキー」を傍受または窃取する。そのトークンはセッションがすでに検証済みであることを証明するため、攻撃者は元のパスワードを再度必要とすることなく、実質的にログイン済みユーザーになることができる。

これは重要である。なぜなら、認証情報の窃取に対する強力な防御と長く考えられてきた多要素認証は、すでに有効なセッションを捕捉した攻撃者を阻止できないからだ。被害者の観点からは、ログインイベントはすでに正当に発生している。侵入後、攻撃者はそのMicrosoft 365アカウントに紐づく電子メール、共有ファイル、カレンダー、社内コミュニケーションにアクセスできる。多くの場合、失敗したログイン試行や新しいデバイスの通知が発するような種類のアラートをトリガーすることなく、これが可能となる。

リモート管理ツールと業務文書が侵入口に

同じ8月のキャンペーンは、IT部門やマネージドサービスプロバイダーがアップデートのインストール、問題のトラブルシューティング、システムのリモート保守に使用する種類のツールであるリモート監視・管理（RMM）ソフトウェアにも依存していた。攻撃者がこれらのツールへのアクセスを得ると、認証情報のハイジャックまたは弱い設定の悪用のいずれかによって、正当なIT管理者が持つものと同じレベルの信頼されたアクセスを継承する。これは、ファイルのプッシュ、コマンドの実行、または最小限の摩擦で接続されたデバイス群全体にわたる移動が可能になることを意味し得る。

日常的な業務文書も役割を果たした。請求書、契約書、社内メモのように見えるファイルは、従業員にリンクをクリックさせたり添付ファイルを開かせたりする最も信頼性の高い方法の一つであり続けている。まさに、それらが怪しく見えないからだ。セッションハイジャックとRMM悪用と組み合わさることで、ひとつの説得力のある文書が、はるかに大規模な侵入における最初のドミノとなり得る。

このパターンは、サイバー犯罪対策におけるより広範な傾向を反映している。当局は個々のインシデントだけでなく、大規模攻撃の背後にあるインフラストラクチャと個人をますます標的にするようになっている。Trickbotランサムウェア運営の管理者に対する制裁のような制裁措置は、古い手法の新たな変種が出現し続ける中でも、政府がこれらのキャンペーンを収益性のあるものにするエコシステムを破壊しようとしていることを示している。

これがあなたにとって意味すること

ほとんどの個人にとって、このキャンペーンは、フィッシングやマルウェアによってセッショントークンが盗まれ得る場合、強力なパスワードや多要素認証でさえ完全な安全網ではないということを思い出させるものだ。特に中小企業の従業員にとって、ITリソースが逼迫し、外部ベンダーがRMMツールを一般的に使用している場合、この種の悪用のリスクは現実のものとなる。

仕事でMicrosoft 365を使用している場合は、予期しない再認証プロンプト、セキュリティ通知でフラグが立てられた見慣れないログイン場所、または認識しないデバイスの承認要求に注意を払ってほしい。組織がリモート管理ソフトウェアを使用するサードパーティのITプロバイダーに依存している場合は、そのアクセスがどのように保護および監視されているかを尋ねる価値がある。そして常に、特に迅速な対応を促す予期しない文書は、開く前に健全な懐疑心をもって扱うことだ。

実践可能な takeaways

  • Microsoft 365のサインインアクティビティログを定期的に確認し、見慣れないセッションや場所を直ちに報告する。
  • ITプロバイダーまたは社内チームに、RMMソフトウェアへのアクセスがどのように認証されているか、セッション監視が実施されているかを尋ねる。
  • 予期しない業務文書、請求書、添付ファイルを、別のチャネルを通じて送信者を確認せずに開かないようにする。
  • 可能な場合は、クラウドアカウントに対して条件付きアクセスポリシーとより短いセッションタイムアウトウィンドウを有効にすることを検討する。
  • 攻撃者が多要素認証を回避するためにどのように適応しているかについて情報を得続ける。Microsoft 365セッションハイジャックは、MFA単独では保証された防御ではないことを示しているからだ。

8月の攻撃の波は、成功するために洗練された新しいマルウェアを必要としなかった。それは、企業が馴染みのあるログイン、馴染みのあるベンダー、馴染みのあるファイルタイプに置く日常的な信頼を悪用することで成功した。その現実に対して警戒を怠らないことが、利用可能な最もシンプルで効果的な防御の一つである。