攻撃者はヘルプデスク職員を装ってTeamsに現れる

金銭目的のハッキンググループが、Microsoft Teamsを悪用して企業ネットワークに侵入していると、Cybersecurity Diveが引用した研究者らが発表した。この攻撃キャンペーンは、アメリカとカナダの数十社に及んでおり、偽のITサポート担当を装うことで、従業員を騙して自分の端末へのリモートアクセスを許可させている。侵入後、攻撃者はランサムウェアを展開し、ファイルを暗号化して身代金を要求する。

国家によるスパイ活動と結びつく多くの注目度の高い侵入事例とは異なり、この活動は純粋に金銭目的だと研究者は見ている。攻撃者が狙うのは機密情報や長期的な監視アクセスではない。彼らが欲しいのは金銭であり、そのための手軽な手段としてMicrosoft Teamsが使われている。

詐欺の手口

手口はソフトウェアの脆弱性ではなく、ソーシャルエンジニアリングに依存している。攻撃者はMicrosoft Teamsを通じて、社内のITサポート職員を装い従業員に接触する。Teamsはほとんどの組織で日常的に使われる信頼されたコミュニケーションツールであるため、従業員は身に覚えのないメールや知らない番号からの電話を受ける場合よりもずっと警戒を緩めやすい。

正当なITサポートと話していると従業員が思い込んでしまうと、攻撃者は「技術的な問題の解決」といった名目で、自分のコンピューターへのリモートアクセスを許可させようと説得する。そこから侵入者はネットワーク内を横方向に移動し、認証情報を収集し、最終的に共有システムやサーバー全体にランサムウェアを展開する。

この手法はサイバー犯罪のより広範な傾向を反映している。攻撃者は、技術的な脆弱性を突くよりも、なりすましと信頼の悪用をますます好むようになっている。ファイアウォールを破るよりも、本人にドアを開けさせるほうが容易だからだ。

ランサムウェア侵害がもたらすプライバシーへの余波

ランサムウェアは一般に事業継続性の問題として捉えられるが、ファイルの暗号化やシステムのロックは氷山の一角に過ぎない。これらの攻撃では、暗号化が始まる前にデータが外部に持ち出されることが多く、身代金要求メッセージが表示される頃には、従業員の記録や顧客情報、社内のやり取りがすでに攻撃者の手中にある場合がある。

そのデータは、身代金が支払われたりシステムが復旧されたりしても、必ずしも消えるわけではない。売却されたり、漏洩されたり、将来の恐喝のために保持されたりする可能性がある。その影響は侵害を受けた企業だけでは済まない。認証情報を収集された従業員、侵害されたサーバーにデータが保管されていた顧客、機密ファイルをやり取りしていたパートナーなど、すべてが危険にさらされる。

こうした攻撃を支えるインフラは、目をつぶるホスティングプロバイダーに依存していることが多い。他の地域の捜査当局は、すでにこの問題に着目している。オランダ当局は最近、サイバー犯罪活動を支えていた「完全防弾ホスティング」業者に関連して800台のサーバーを押収し、2人を逮捕した。この事実は、ランサムウェアキャンペーンが単独で存在することは稀であり、ホスティング、資金洗浄、配布といった国境を越えた広範なエコシステムに依存していることを思い出させる。

この事態が意味するもの

あなたの組織がMicrosoft Teamsを使用しているなら（そして大多数はそうだが）、このキャンペーンは、内部チャットプラットフォームもメールの受信箱と同様に、すでに攻撃対象になっているという直接的な警告である。IT部門は、「サポート」を名乗る連絡からの身に覚えのないTeamsメッセージを、フィッシングメールと同様の疑いの目で扱うべきだ。

個人の従業員にとっての教訓はシンプルだ。正当なITサポートがこのような手段で最初に連絡を取ることは稀であり、事前に既存のチケット管理システムや社内チャネルを通じて確認することなく、その場でリモートアクセスを要求することはまずない。話が性急すぎたり、異常に緊急性を帯びていたりする場合は、その切迫感こそが危険のサインであることが多い。

顧客や従業員のデータを取り扱う企業にとって、このキャンペーンは、なぜデータの最小化とネットワークセグメンテーションが重要なのかを改めて浮き彫りにしている。単一のアクセスしやすいシステム上に置かれる機密情報の量を制限すれば、攻撃者が第一防衛線を突破しても、抜き取れる情報を減らせるからだ。

リスクを減らすための実践的な対策

  • 自分の端末へのリモートアクセスを許可する前に、公式のチケット管理システムや既知の社内電話番号を通じて、ITサポートへの問い合わせが本物か必ず確認する。
  • Teams、メール、リモートアクセスツールに多要素認証を導入し、単一の認証情報が侵害されただけでは横方向の移動を許さないようにする。
  • メールフィッシングだけでなく、Teamsを悪用したなりすまし手口についても、従業員に重点的に教育する。攻撃者は明らかに侵入経路を多様化させているからだ。
  • 機密データをセグメント化し、管理者権限を制限することで、単一のアカウントが侵害されてもネットワーク全体には到達できないようにする。
  • オフラインで検証済みのバックアップを保持し、ランサムウェアの身代金要求に屈しない力を確保する。

今回のMicrosoft Teamsランサムウェアキャンペーンは、攻撃者は信頼がすでに存在する場所へ向かうということを思い出させる。組織が日々の業務をコラボレーションプラットフォームに頼るようになるほど、そうしたツールがなりすましの格好の標的になる。不意の「サポート」要請に警戒を怠らず、別の経路で本人確認を行い、セキュリティ教育を常に最新のものにしておく。これらはシンプルだが、一歩先を行くための効果的な方法だ。