よくある名前の小さな流出

「Microsoft 42」と名付けられたコンボリストが最近オンライン上に現れ、140件のログイン記録が含まれていたと、HEROICのダークウェブ侵害スキャナーが発表しました。同社は40億件以上の流出データを保持しており、地下フォーラムやマーケットプレイスで流通するコンボリストを常時監視する一環としてこのファイルを検出しました。

数百万件のアカウントが流出する侵害と比べると、140件の記録は取るに足らないように聞こえるかもしれません。しかし、コンボリストのサイズは、そこに含まれる認証情報の持ち主にもたらす危険性とはほとんど関係がありません。重要なのは、それらのメールアドレスとパスワードの組み合わせがまだ有効かどうか、そして同じ使い回されたパスワードを共有する他のアカウントがどれだけあるかです。

コンボリストとは実際何か（そして名前が重要な理由）

コンボリストとは、メールアドレスやユーザー名とパスワードを組み合わせたプレーンテキストファイルで、通常は単一の新たなハッキングからではなく、過去の侵害、フィッシングキャンペーン、マルウェア感染などから収集されたものです。「Microsoft 42」というラベルは、必ずしもMicrosoft自体が侵害されたことを意味しません。コンボリストは、購入者や犯罪フォーラムが盗難データを整理しやすいように、ブランドやサービス、テーマにちなんで名付けられることが多く、たとえ認証情報が無関係のソースから入手され、単に再パッケージ化されたものであっても、同様です。

この命名規則は何気なく見る人には誤解を招く可能性がありますが、基になるデータの有用性が損なわれるわけではありません。攻撃者はコンボリストを自動ツールに読み込ませ、クレデンシャルスタッフィングと呼ばれる手法で、銀行サイト、メールプロバイダー、ストリーミングサービス、企業ログインに対して実行します。この流出に含まれる140件の記録のうち、たとえ少数でも他の場所でまだ有効なパスワードが使われていれば、そのアカウントは危険にさらされます。Microsoft自身のシステムが侵されたかどうかは関係ありません。

このような認証情報の再利用パターンは、はるかに大きなエコシステムの一部です。Charterを襲い約4,000万件の記録を流出させたShinyHuntersのビッシング攻撃のような大きく見出しを飾る事件は、このような小さなコンボリストが利用するのと同じ地下サプライチェーンに供給されます。盗まれた認証情報が一つの流出にとどまることはまれで、何年にもわたって束ねられ、転売され、新たなリストに再結合されます。

Microsoftブランドの脅威が繰り返し発生する理由

Microsoftのエコシステムは、Outlook、Microsoft 365、Azure、Windowsにまたがり、その規模ゆえに絶えず標的にされています。攻撃者は、有効なMicrosoftの認証情報があれば、メール、クラウドストレージ、業務アプリケーションに一度にアクセスできることが多いと知っており、個人の詐欺師にとっても組織化された脅威アクターにとっても価値の高い標的となっています。

これこそが、Microsoftをテーマにした攻撃が単純なパスワード流出を超えてエスカレートする傾向がある理由でもあります。別の報告では、Storm-2949として追跡される脅威アクターがMicrosoft 365のパスワードリセットフローを悪用してクラウドデータを吸い上げた詳細が伝えられており、使い回された、または流出した1つのパスワードが、はるかに深刻な侵入への侵入口になり得ることを示しています。認証情報の流出とアカウント乗っ取りキャンペーンは相互に強化し合う傾向があります。流出したパスワードがリセットやアカウントアクセスを可能にし、侵入の成功が新たな盗難データを生み出し、それがやがて次のコンボリストに収まります。

また、盗まれた認証情報がますます恐喝行為に利用されていることも忘れてはなりません。他の場所で取り上げられた調査では、新たなランサムウェアグループがほぼ毎週のように出現していると指摘されており、これらのグループの多くは、ランサムウェアを展開する前に初期アクセスを得るために購入または流出した認証情報に依存しています。140件のコンボリストは単体では小さく見えるかもしれませんが、この広範な犯罪経済を動かし続ける原材料の一部なのです。

これがあなたにとって意味すること

Microsoftアカウントを使用している場合、またはパスワードを使い回しているアカウントがある場合、実際のリスクは特定のコンボリスト名ではありません。あなたの現在のパスワードが流出データセットのどこかに存在するかどうかです。HEROICの無料侵害スキャナーのようなツールが存在するのはまさにこのためです。何十億件もの流出記録を検索し、自分のメールアドレスやパスワードが流出に現れていないかを、個々のインシデントを自分で追跡することなく確認できます。

最も安全な想定は、特に古いサイトやセキュリティの弱いサイトで複数回使用したパスワードは、すでにどこかで侵害されているということです。このようなコンボリストは、使い回された認証情報が依然として攻撃者が侵入する最も簡単な手段の一つであることを示す最新の証拠にすぎません。

今すぐ取るべき実践的な対策

  • 信頼できる侵害チェックツールで自分のメールアドレスを検索し、既知の流出やコンボリストに現れていないか確認する。
  • 複数のサイトで使い回しているパスワードを変更し、メール、銀行、クラウドアカウントを優先する。
  • 可能な限り多要素認証を有効にし、特にMicrosoft、Google、金融アカウントで実施する。
  • パスワードマネージャーを使用して一意で複雑なパスワードを生成し、1つの流出した認証情報で複数のアカウントがロック解除されないようにする。
  • 一度のチェックで十分だと考えず、定期的にアカウントを監視する。新しいコンボリストは定期的に出現するため。

Microsoft 42コンボリストのような小さな流出が大きくニュースになることはめったにありませんが、それは、ニュースになるような流出の後も、何も起こっていないように見える時も、認証情報の衛生管理が同様に重要であることを思い出させてくれる有益なものです。