昔ながらの手口に新しいひねり：ビッシングと自動化の融合

UNC6671として追跡されている脅威グループが、昔ながらのソーシャルエンジニアリング手法と最新の自動化を組み合わせる方法を発見し、その被害に遭った組織に大きな損害をもたらしている。このグループの活動に関する報告によると、UNC6671は社内のITヘルプデスクスタッフを装って電話をかけ、従業員を騙してMicrosoft 365やOktaアカウントへのアクセスを渡させる。侵入に成功すると、アクティブなセッショントークンを盗み出し、パスワードや多要素認証を完全に迂回した上で、企業データの窃取を自動化し、恐喝に利用する。

このキャンペーンが注目に値するのは、最初の接触手段ではない。音声フィッシング、いわゆる「ビッシング」は何年も前から知られた戦術だ。特筆すべきは、その上に重ねられた自動化によって、たった一度の電話の成功が、誰かが気づく前にMicrosoft 365環境全体からファイルや通信を静かに収集できる、スケーラブルなデータ窃取作戦へと変貌することだ。

攻撃の実際の仕組み

攻撃は通常、一本の電話から始まる。従業員は、社内のITサポートチームを名乗る者から、ログインの問題やアカウントロックアウトといったもっともらしい技術的課題を口実にした、日常的な内容に見える電話を受ける。発信者はターゲットを誘導し、最終的にMicrosoft 365やOkata（多くの組織がクラウドツールのシングルサインオンアクセスを管理するために使うIDプラットフォーム）に紐づくアクティブなセッショントークンや認証情報を渡させる。

セッショントークンは、既に認証済みのセッションを意味するため、攻撃者にとって特に価値がある。パスワードを解読したり多要素認証を突破したりする必要はなく、単にそのトークンを再利用して正規のユーザーになりすますことができ、その際、不審な新規ログインが発生させるようなアラートをトリガーしないことが多い。

アクセスを確立した後、UNC6671は侵害したMicrosoft 365環境からデータを引き出すプロセスを自動化していると報告されている。人間の操作者がメールボックスや共有ドライブを手作業で漁る代わりに、スクリプト化されたツールが大量のメール、ファイル、その他の機密情報を収集するという重労働をこなす。そして盗み出されたデータは恐喝スキームの材料となり、支払いがなければ情報を漏洩または売却するとグループが脅迫する。

このパターンは、研究者が同一の恐喝グループに関連するヘッジファンドへの攻撃について記録した内容と共通している。そこでは金融機関が同様のソーシャルエンジニアリングとデータ恐喝の手口で標的にされた。金融サービス組織は、機密性の高い顧客データを大量に保有し、迅速かつ目立たずにインシデントを解決しなければならないというプレッシャーに直面しやすいため、格好の標的となる。

侵害の見出しを超えて重要な理由

これをまた一つの企業侵害のニュースとして扱いたくなるかもしれないが、プライバシーへの影響は外側へ波及する。脅威グループが従業員のMicrosoft 365セッションを乗っ取ると、単に社内ファイルにアクセスするだけではない。顧客記録や取引先の個人データ、組織の外に出ることを想定していなかった内部コミュニケーションまで覗き見られる可能性がある。

最初のアクセスが技術的脆弱性の悪用ではなくソーシャルエンジニアリングに頼っているため、パッチ適用やエンドポイント検出といった従来のセキュリティツールでは攻撃を発生源で阻止できない。悪用されている脆弱性は人間の信頼、具体的には、ITサポートからの電話だと主張するものが実際にITサポートからのものであるという、従業員の当然の思い込みだ。そのため、この種の攻撃をテクノロジーだけで完全に排除することは難しく、組織的なトレーニングや検証プロセスの重要性が増している。

自動化の側面も重要だ。セッショントークンが盗まれると、データが流出するスピードと規模によって、大量の機密情報が失われる前にセキュリティチームが検知して対応できる時間はますます短くなる。

あなたにとっての意味

Microsoft 365やOktaを利用する組織で働いているなら（そして多くの大企業がそうだが）、このキャンペーンは、日常的に思えるIT対応の電話の最中に、あなた自身が警戒を怠らないことが想像以上に重要であることを改めて示している。正規のIT部門が、一方的にかけてきた電話で、ワンタイムコードを読み上げるよう求めたり、予期しないログインプロンプトを承認するよう指示したり、見慣れないリセット用ページに移動するよう求めたりすることはほとんどない。

個人にとっての教訓は、新しいソフトウェアをダウンロードすることよりも、習慣に関するものだ。たとえ発信者が社内システムに精通しているように聞こえても、アカウントへのアクセスを求める一方的な電話を疑おう。要求は、電話の発信者が伝えた番号ではなく、社内ディレクトリに記載された番号を使ってIT部門にかけ直すなど、別の既知の経路で確認する。

実践できる対策

以下の現実的な対策で、この種の攻撃への露出を減らせる。

  • 一方的なITサポート電話は、特にログインコード、セッション承認、パスワードリセットを要求してくる場合は注意して扱う。
  • ITの依頼は、怪しい電話中に伝えられた折り返し番号ではなく、独自に入手した電話番号や社内チャットシステムで確認する。
  • 情報を何も共有しなかったとしても、不審なヘルプデスク電話があれば直ちにセキュリティチームに報告する。自社が標的にされている兆候かもしれない。
  • セッションが侵害された疑いがある場合は、ITにアクティブなトークンを失効させ、多要素認証で新たにログインし直すよう依頼する。

UNC6671のキャンペーンが示すのは、組織が技術的防御を強化するにつれて、攻撃者がますます人間の層を標的にしているということだ。ソーシャルエンジニアリングの試みに対して警戒を怠らないことは、一般の従業員が使える最も効果的で低コストな防御策の一つであり続ける。