サイバー犯罪者は、メールフィルターやスパムブロッカーを回避する新たな手口を見つけました。それは、Microsoft Teamsを通じて従業員に直接電話をかけるというものです。Chaosランサムウェアに関連する最近のキャンペーンでは、攻撃者がTeams内で音声フィッシング（ビッシング）を使い、従業員を騙してネットワークへのアクセス権を渡させ、最終的に企業システム全体にランサムウェアを展開させることが確認されています。

これは単なるフィッシングメールの話ではありません。何百万人もの従業員が今やデフォルトで信頼しているコラボレーションプラットフォームを、攻撃者が意図的に標的にし始めている兆候であり、組織はソーシャルエンジニアリングを見抜くための社員研修のあり方を見直さざるを得なくなっています。

Microsoft Teamsを使ったビッシング攻撃の仕組み

受信トレイにある悪意あるリンクや添付ファイルに依存する従来のフィッシングとは異なり、この攻撃スタイルは生の音声通話を利用します。攻撃者はMicrosoft Teamsを通じて従業員に接触し、多くの場合、社内ITサポートや信頼できるベンダーを装い、その通話で緊急性と信頼性を醸成します。このやりとりは、従業員が日常的に正当な業務依頼に使っているプラットフォーム内で行われるため、通常であれば不審なメールに抱く心理的な障壁がまったく働きません。

信頼を確立した後の攻撃者の目的は単純明快です。ログインプロンプトの承認、リモートアクセスツールのインストール、サポートチケットを装った資格情報の共有など、遠隔操作を許可させる何らかの行動をターゲットにとらせることです。そこから、攻撃者は社内ネットワークへの足がかりを築き、ランサムウェアのペイロードを配備する準備を整えます。

このアプローチは、ソフトウェアの脆弱性を直接狙うよりも、Microsoft 365環境を悪用するという、より大きなトレンドの一端を示しています。Storm-2949がMicrosoft 365のパスワードリセットを悪用してクラウドデータを流出させたキャンペーンで見られた戦術とも共通しており、そこではマルウェアだけに頼るのではなく、信頼されたクラウドワークフローを操作して組織に侵入しました。

音声フィッシングが従来のセキュリティ研修をすり抜ける理由

企業のセキュリティ意識向上プログラムの大半はメールを中心に構築されています。すなわち、不明なリンクをクリックしない、送信者アドレスを確認する、リンク先をホバーしてから信頼する、といった具合です。音声フィッシングはそのほぼすべての研修をかわします。なぜなら、精査すべきメールがなく、明らかに偽装されたドメインもなく、従業員が静かにセキュリティチームへ転送して確認してもらえる固定的なメッセージも存在しないからです。

生の電話や Teams 通話は、メールでは生じない社会的圧力も持ち込みます。ITサポートを名乗る、落ち着いてプロフェッショナルに聞こえる声、特に内部用語や最近の社内イベントに言及する声は、従業員が冷静に考える間もなく素早く応じてしまう方向へ追い込む可能性があります。信頼されたプラットフォーム、リアルタイムの圧力、限定的な従業員の備え、これらの組み合わせこそが、ビッシングがランサムウェアオペレーターにとって魅力的な侵入口となった理由です。

Chaosランサムウェアがネットワーク侵入後に行うこと

攻撃者がビッシング通話でアクセスを確立すると、次の段階はChaosランサムウェアの展開です。他のランサムウェアファミリーと同様に、Chaosは侵害されたネットワーク内を移動し、ファイルやシステムを暗号化し、身代金が支払われるまでそのデータを人質に取るよう設計されています。被害は一台のマシンにとどまらず、ランサムウェアのオペレーターは暗号化を開始する前にネットワーク内で可能な限り拡散し、被害組織が支払いに応じざるを得なくなるよう圧力を最大化するのが一般的です。

このキャンペーンを注目すべきものにしているのは、ランサムウェアそのものよりも配信方法です。信頼されたコミュニケーションチャネルを通じて一見正当に見えるアクセス権を取得することで、通常なら不審なダウンロードや異常なログイン試行と判断して警告を発する技術的防御の複数層を、攻撃者は飛び越えてしまう可能性があります。

リモートおよびハイブリッドワーカーのための防御策：MFA、VPN、音声検証

分散型またはハイブリッドのチームを抱える組織にとって、この種の攻撃は、本人確認をメールやログイン画面の枠を超えて拡張する必要があることを再認識させるものです。実践的な数ステップでリスクを効果的に低減できます。

  • すべてのリモートアクセスや機密システムで多要素認証（MFA）を必須とし、自分が自発的に開始していない MFA プロンプトを決して承認しないよう従業員を研修する。
  • ITサポートの依頼を確認するための明確な全社的ポリシーを確立する（例：Teamsの突然の通話やメッセージを信用するのではなく、既知の内線番号に従業員が折り返し電話をかけるよう義務付ける）。
  • VPNと厳格なアクセス制御を組み合わせて使用し、万が一資格情報が漏洩しても、ネットワーク内の横方向への移動を困難にする。
  • フィッシング啓発研修をメールだけでなく、音声やチャットベースのソーシャルエンジニアリングもカバーできるよう拡張する。

このことがあなたに意味するもの

ハイブリッドまたはリモートで働き、Microsoft Teamsを日常的に使用しているなら、「ITサポート」からの不意の電話やメッセージには、不審なメールに向けるのと同じ懐疑の目を向けてください。正当なIT部門が、チャットプラットフォームを通じていきなり接触し、ソフトウェアのインストールやアクセス要求の承認をその場で求めることはほとんどありません。疑問に思ったら電話を切り、公式なチャネルで確認し、直ちにセキュリティチームにそのやり取りを報告してください。

重要なポイント

Microsoft Teamsを利用したビッシングランサムウェア攻撃の増加は、サイバー犯罪者が多くの企業研修プログラムよりも速く適応していることを示しています。コラボレーションツールがソーシャルエンジニアリングの新たな最前線となる中、組織はそれに応じて防御を更新する必要があります。すなわち、MFAポリシーの強化、IT確認手続きの正式化、そして、プラットフォームへの信頼がそれを利用するすべての人への信頼と同じではないことを従業員に理解させることです。突然の音声やチャットでの要求に対して、どんなに説得力があっても警戒を怠らないことは、ランサムウェア攻撃が始まる前に食い止めるための、最もシンプルで効果的な方法の一つであり続けます。