フィッシングサービス、RingCentralになりすましMicrosoft 365アカウントを窃取

フィッシング・アズ・ア・サービス(PhaaS)プラットフォーム「Greatness」が、認証情報フィッシングから、Microsoft 365アカウントを狙うAiTM(Adversary-in-the-Middle)攻撃やデバイスコードフィッシングへと手口を拡大していることがわかりました。

同プラットフォームは少なくとも2022年半ばから活動しており、米国、カナダ、英国、オーストラリア、南アフリカのMicrosoft 365ユーザーを標的にしてきました。

年月を経て進化を続け、現在ではMicrosoft 365に加えてiCloud、Yahoo、Google Workspaceなど複数のプラットフォームを標的としています。

現在このサービスは、数千人の登録者を抱えるTelegramチャンネルを通じて、サイバー犯罪者向けに月額289ドルで販売されています。

メールセキュリティ企業ZeroBECの研究者が確認した最近のキャンペーンでは、Greatnessの運営者がRingCentralのコミュニケーションプラットフォームを悪用し、受信側のメールセキュリティフィルターを回避していました。

RingCentralは、クラウド通話やメッセージング、ボイスメールなどのサービスを企業向けに提供するコミュニケーションプラットフォームです。

今回のGreatnessによる攻撃活動では、攻撃者はservice@ringcentral[.]comからの送信であるかのように装い、実際にこのサービスを利用しているユーザーを標的にしていました。

これらのメールは、偽のボイスメール通知や人事評価通知を誘い文句として使い、受信者に開封を促す仕組みになっていました。

メールの送信元は身元不明のIONOSメールサーバーで、SPFおよびDMARCの検証には失敗し、DKIM署名も付与されていませんでしたが、RingCentralがホワイトリストに登録されていたため、受信側のシステムはそのまま受け入れてしまいました。

さらに、メールには送信者が組織の安全な送信者リストによって検証済みであると主張する偽のバナーが表示されており、人間の目による疑念も軽減される仕組みになっていました。