セキュリティ
キーロガー、音声・映像監視、CaptivePortalによるトークン窃取まで――ホスピタリティ業界に警戒呼びかけ
Microsoftは、ロシア対外情報庁(SVR)の工作員が公共Wi-Fiのキャプティブポータルネットワークを侵害し、インフォスティーラーやキーロガーなどのマルウェアを配布していると発表しました。カンファレンス参加者は公共Wi-Fiへの接続を再考すべきかもしれません。
ReliaQuestによるこれまでの調査を踏まえ、Microsoftは今回、SVR傘下のMidnight Blizzard(別名Nobellium)の一部門であるStorm-2945を、ホテルやカンファレンス会場などホスピタリティ業界の共有施設で公共Wi-Fiネットワークの利用者を標的とした攻撃キャンペーンの犯人として特定しました。
Microsoftは、攻撃者が最初にどのようにキャプティブポータルネットワークを侵害しているのかを現在も調査中です。このAI支援を伴う大規模な作戦は2026年2月に遡り、トラフィック操作については2026年5月上旬から観測されているとのことです。
Storm-2945はネットワーク層の制御権を奪った後、DNSおよびHTTPトラフィックを操作し、利用者を攻撃者の管理するインフラへと誘導するとMicrosoftは説明しています。この攻撃グループはさらに、OSの接続確認機能を悪用して悪意あるプロンプトやリダイレクトを発生させます。
ChocoShellは配布から実行まで完全にメモリ上で行われるとMicrosoftは説明しています。SVRは主にこれを使って、被害者のブラウザセッションクッキー、保存済みパスワード、SSOトークン、Wi-Fi認証情報を吸い上げます。
Microsoftはこの二つのマルウェアの違いを次のように端的にまとめています。「CornFlakeがオペレーターにデバイス上の持続的かつ長期的な足がかりを提供する一方、ChocoShellは運用上最も価値の高い認証情報を抽出するよう設計されており、オペレーターに被害者のクラウド環境へのアクセスをもたらします」。
攻撃の主な標的はWindowsマシンですが、Microsoftはこれに加えて、Androidデバイス向けに調整されたClickFixプロンプトの兆候も確認しており、利用者にAPKファイルのダウンロードとインストールを促す事例が見られるとしています。
マルウェアによる攻撃に加え、SVRのCaptiveCrunch関連活動の「一部」はデバイスコードフィッシングにも充てられています。
攻撃者が管理するランディングページに誘導された利用者は、正規のMicrosoft認証ページ上でデバイスコードを入力するよう指示され、知らぬ間に攻撃者のセッションを認可してしまうことになります。
デバイスコードフィッシングは、スマートTVなどブラウザを開くのが困難な機器向けに用意されている、正規のOAuthフローを悪用するものです。
こうしたシナリオでは、攻撃者がまずMicrosoftに認証コードを要求し、それをフィッシングの標的に送りつけます。CaptiveCrunchキャンペーンの場合、攻撃のAitM要素によって利用者には偽のランディングページとしてこれが提示される形になります。
標的とされた利用者は、もともと攻撃者に発行されていたそのコードをコピーし、正規のMicrosoft認証ウィンドウを開いてコードを入力、認証したいアカウントを選択するよう求められます。アカウントを選択すると認証フローは完了しますが、実際には選択したアカウントへの認証を攻撃者に与えることになります。
これにより攻撃者は、被害者のMicrosoft 365アカウントに対する有効なOAuthトークンを手に入れます。これは有効期限が切れるか失効するまで、そのトークンで許可されたクラウドデータへのアクセスを許してしまう可能性があります。
デバイスコードフィッシングは新しい手口でも独自のものでもありませんが、MFAを回避する有効な手段になり得ます。特に攻撃者がキャプティブポータル侵害後にトラフィックの流れをすでに掌握している場合はなおさらです。
「この活動は、Midnight Blizzardが2024年8月以降に実施してきたことが報告済みのデバイスコードフィッシング作戦と一致しています」とMicrosoftは述べています。
「観測された手法自体は根本的に目新しいものではないと見られます。しかし、デバイスコードフィッシングをキャプティブポータルおよびトラフィック操作の作戦に組み込むことで、利用者が認証要求を正当なものと認識してしまう可能性が高まるおそれがあります」。
Microsoftの見解では、最大の教訓は公共Wi-Fiをそこまで信頼しないようにすることです。
ホスピタリティ施設のWi-Fiサービスの利用そのものを全面的に控えるよう求めてはいないものの、公共ネットワークよりも個人用ホットスポットや衛星インターネット接続を優先する方が安全だとしています。
Microsoftのアドバイスの大半は、利用者教育の枠組みに収まるものと言えます。公共ネットワークを信用しないこと、公共ネットワーク経由やプロンプト経由でのアップデートのダウンロードをしないよう利用者に教えること、ClickFix攻撃がどのようなものかを利用者に周知すること――といった内容です。
ただし、組織側にも果たすべき役割があります。技術的な対策の一つとして、パスワードレス認証は多くのフィッシング手法を阻止できます。もっとも、デバイスコードフィッシングはパスキーすら回避してしまう可能性がある点には注意が必要です。
最善の対応策は、雇用主が可能な限りデバイスコード認証フローそのものを無効化し、従業員が職場のクラウドアクセス権を攻撃者に明け渡してしまう事態を防ぐことでしょう。®
