最近発覚したハッキングキャンペーンは、Microsoft Teamsからの通知を装い、Microsoftの正規の認証インフラを悪用して、企業のOutlook、SharePoint、OneDriveアカウントを侵害していました。
Check Pointのサイバーセキュリティ研究者らは、7月29日公開のブログ投稿で、攻撃者が偽のMicrosoftログインページを使う手口から離れ、Microsoftの正規認証インフラを悪用する手口へとますます移行していると警告しました。
この手法を用いることで、攻撃者はユーザーが認識しているような不審な兆候の一部を回避し、フィッシングキャンペーンの成功率を高めようとしていると考えられます。
このキャンペーンは6月最終週末から始まり7月にかけて継続し、製造業、法律、医療分野を含む120の組織のユーザーを標的としました。攻撃メールは、同社の人事部門からのMicrosoft Teams通知アラートに見せかけて作成されていました。
メールはMicrosoft Plannerのタスク割り当て通知を装っており、送信者名は「There’s New Activity On Teams（Teamsに新しい活動があります）」となっていて、人事部門がMicrosoft Teamsでユーザーにメッセージを送信したと主張する内容でした。本文には「期限超過のタスク」への言及もあり、ソーシャルエンジニアリングの手法を用いてユーザーに偽のリクエストへの対応を急がせようとしていました。
ユーザーがメッセージ内のリンクをクリックすると、正規のOAuth認証URLに誘導されました。
ユーザーがサインインを試みると、そのページは「権限を承認する」または「組織を代表して承認する」というプロンプトを提示しました。ユーザーがこれに応じると、ログイン試行は攻撃者が管理するインフラにリダイレクトされ、攻撃者は認証トークンも取得しました。
これらすべてが攻撃者側のインフラを介して行われたことで、攻撃者はアカウントへのアクセス権を得て、正規のユーザーがMicrosoft 365スイートで行えることと同様の操作を実行できる状態になりました。
Check Pointはブログ投稿の中で、「攻撃者はMicrosoftの玄関口を偽造することをやめ、実際にそこを通り抜けるようになりました。被害者が目にする画面はすべて本物であり、この一連の流れの中で唯一偽物なのは、アクセスを要求するアプリの裏にある意図だけです」と述べています。
研究者らは、メールアカウントへのこうしたアクセスを確保することで、攻撃者は被害者の受信箱からメッセージを読み取ったりデータを持ち出したりできるだけでなく、この正規かつ信頼された アカウントへのアクセスを踏み台にしてビジネスメール詐欺（BEC）攻撃に利用できると詳しく説明しています。
この特定のキャンペーンは現在活動していませんが、Check Pointは「攻撃者が従来のフィッシング対策を回避する方法を根本的に変えてきたことを示す、もう一つの例に過ぎない」と指摘しています。
Check Pointは、こうした手法を用いるキャンペーンを識別し、対策を講じるために以下のアドバイスの実践を推奨しています。
- クリックする前にリンクにカーソルを合わせ、リンク先がメッセージ内で言及されているサービスと一致するか確認する。異なるボタンが同じURLにつながっている場合は要注意
- 送信者名、送信者アドレス、送信ドメインに一貫性があるか確認する。今回のキャンペーンでは、メッセージは受信者自身のメールアドレスから送られたように見せかけながら、表示名ではTeamsの活動通知を装っていた
- 社内アドレスから届いたように見えるというだけでメールを信用しない。表示名や送信者アドレスは偽装や改ざんが可能
- 不確かな場合は、メール内のリンクを使わず、公式アプリからTeamsや他のアプリケーションを直接開いて確認する
翻訳元: https://www.infosecurity-magazine.com/news/teams-phishing-abused-legit/
