公共Wi-Fiの古くからあるリスクに新たな展開

セキュリティ研究者が、空港、ホテル、カフェ、会議センターで見られるキャプティブWi-Fiポータルの背後にあるハードウェアである公共Wi-Fiゲートウェイに侵入し、企業のMicrosoft 365の認証情報を収集している脅威アクターを特定しました。偽のホットスポットを設置したり、ログインページを一から偽装するのではなく、攻撃者は企業や施設がすでにゲストを認証してインターネットアクセスを許可するために依存している正規のインフラを侵害しているのです。

これが重要なのは、キャプティブポータルが公共Wi-Fi体験の中で最も信頼され、かつ最も精査されない部分の一つだからです。何百万人もの旅行者が毎日、これらの「利用規約に同意して接続」ページを何の疑いもなくクリックしています。ゲートウェイ自体が乗っ取られてしまえば、ユーザーが目にする認証情報収集ページは完全に本物に見える可能性があります。ある意味、それは実際のインフラであり、ただ窃取のために転用されているだけだからです。

攻撃の仕組み

キャプティブWi-Fiゲートウェイは、公共ネットワークとインターネットの間に位置する機器で、通常はブラウジングを開始する前にユーザーにログイン、利用規約への同意、またはメールアドレスの入力を求めます。このキャンペーンに関する報告によると、脅威アクターはこれらの機器を直接侵害し、出張中の企業従業員のMicrosoft 365アカウントをターゲットにするために使用しています。

Microsoft 365は世界中の膨大な数の企業にとってメール、ファイルストレージ、コラボレーションの基盤であるため、1組の認証情報が盗まれるだけで、受信トレイ、共有ドキュメント、内部コミュニケーション、そして多要素認証が適切に強制されていなければ、さらに深いネットワークアクセスへの扉を開く可能性があります。攻撃者にとって、ゲートウェイレベルでビジネス旅行者を標的にすることは効率的です。個々の被害者を追いかける代わりに、多くの異なる旅行者が通過せざるを得ないチョークポイントを侵害するのです。

この手法は、偽のホットスポットを見分けるための通常のアドバイスの一部も回避します。ユーザーは必ずしも不正なネットワーク名や明らかに疑わしいページに接続しているわけではありません。施設が実際に提供しているWi-Fiを使用しているのですが、それがインフラレベルで彼らに敵対するように変更されているだけなのです。

これが全員にとってプライバシーとセキュリティの問題である理由

この影響は一企業のIT部門にとどまりません。公共Wi-Fiは個人のプライバシーにおける弱点として長らく認識されてきましたが、今回のキャンペーンは、それが企業システムへの認証情報を持つビジネス旅行者を直撃した場合に、その脆弱性がどのように拡大するかを浮き彫りにしています。Microsoft 365へのログイン情報が侵害されることは単なる不便ではなく、ビジネスメール詐欺、データ漏洩、そして信頼された内部アカウントから発信されるさらなるフィッシングキャンペーンにつながる可能性があります。

これは、人々がプライバシーとセキュリティのために頼っているツールには、実際に具体的な限界があることを再認識させてくれます。VPNが実際に保護するものの解説で取り上げたように、VPNはデバイスとVPNサーバー間のトラフィックを暗号化します。これは公共Wi-Fiでは本当に価値があります。しかし、VPN接続が始まる前の段階で、キャプティブポータル自体がすでに侵害しているログイン画面に、本物の認証情報を入力することを防ぐことはできません。この違いを理解することが、これらのツールを万能薬と見なすのではなく、効果的に使用するための鍵です。

また、VPNのようなプライバシーツールが、英国で提案されているVPN年齢確認規則に関する報道で取り上げたような規制当局の精査を含め、より広範な政策議論の一部になりつつあることも注目に値します。これらのツールが規制当局からより多くの注目を集める中で、それらが実際に何を保護し、何を保護しないのかを正確に理解することは、一般ユーザーと企業の両方にとってますます重要になっています。

あなたにとっての意味

あなたやあなたの従業員が出張し、空港、ホテル、会議場などの公共Wi-Fiに日常的に接続するなら、このキャンペーンは、オフィスの外で企業アカウントにアクセスする方法に関する習慣を強化すべきシグナルです。公共Wi-Fiを完全に避けるべきという意味ではありませんが、ログインの瞬間、つまりあのキャプティブポータル画面は、ほとんどの人が払っているよりも多くの精査に値するということです。

ITおよびセキュリティチームにとって、これはすべてのMicrosoft 365アカウントに例外なく多要素認証を強制する強力な根拠となります。MFAはパスワードが盗まれても影響を緩和できるからです。また、機密性の高いログインを行う前に、会場がデフォルトで提供するネットワークに頼るのではなく、モバイルホットスポットの使用や信頼できるVPN接続を確立することを検討する理由にもなります。

実践的な要点

  • すべてのMicrosoft 365およびその他のビジネスアカウントで多要素認証を有効にし、パスワードが盗まれただけではアクセスが許可されないようにします。
  • 公共Wi-Fiのキャプティブポータルに接続した直後に企業アカウントにログインすることは避け、可能であれば、まず携帯電話のホットスポットを使用するか、VPN経由で接続します。
  • キャプティブポータルのログインページを、見慣れないログイン画面と同様に注意深く扱い、ネットワークがアクセスを許可するために本当に必要な情報以上のものを決して入力しないでください。
  • 出張中の従業員には、予期しない認証情報の要求など、Wi-Fiログイン体験に関する異常があればITまたはセキュリティチームに報告するよう奨励してください。
  • VPNは公共Wi-Fiにおける貴重な保護層ですが、ログイン段階での注意の代わりにはならないことを忘れないでください。その実際の保護範囲を理解することで、正しく使用できるようになります。

脅威アクターが旅行者がすでに信頼しているインフラを悪用する新たな方法を見つけ続ける中で、公共Wi-Fiのリスクに関する時代遅れの思い込みに頼るのではなく、これらの攻撃が実際にどのように機能するかについて最新情報を得ることが、利用可能な最も効果的な防御策の一つです。