- ZeroBECによると、PhaaS(フィッシング・アズ・ア・サービス)「Greatness」がMFAを回避するように進化し、Microsoft 365、iCloud、Yahoo、Google Workspaceの各アカウントを標的にしている
- ShinyHuntersによる侵害後、攻撃者はRingCentralのメールを装って偽のMicrosoft 365ログイン画面に誘導し、認証トークンを窃取している
- Greatnessは月額289ドルでTelegram上で販売されており、複数の地域にわたってOutlook、Teams、SharePoint、OneDriveなどへのアクセスを可能にする
Microsoft 365ユーザーを標的に、RingCentralを装ったフィッシングメールが送りつけられていることが、専門家によって明らかになりました。多要素認証(MFA)で保護されていても、アカウントを窃取される恐れがあるといいます。
セキュリティ研究者集団ZeroBECは、フィッシング・アズ・ア・サービス(PhaaS)プラットフォーム「Greatness」がMFA対応アカウントも標的にするよう進化する様子を観測したと報告しています。
Greatnessはかつて単純な認証情報フィッシングを行うプラットフォームでした。しかし近年、Microsoft 365アカウントだけでなく、iCloud、Yahoo、Google Workspaceのアカウントも標的にするよう進化しています。
MFA承認済み認証トークンを窃取する手口
ZeroBECの指摘によると、RingCentralは最近、悪名高いハッカー集団ShinyHuntersによるデータ侵害に見舞われており、その際に攻撃者がRingCentral顧客のメールアドレス一覧を窃取し、今回の攻撃に利用した可能性が高いとされています(ただし未確認)。
現在、RingCentralの顧客のもとには、同社からの正規メールを装った不審なメールが届いています。差出人は不明なメールサーバーであり、SPFおよびDMARCの検証にも失敗しているにもかかわらず、そうしたメールが送信されているのです。メールの内容は、留守番電話や人事評価通知を装った定番の手口で、リンクをクリックすると攻撃者が管理するインフラへ誘導され、そこでMicrosoft 365のログインページが偽装されています。
この悪意あるランディングページを通じて、Greatnessの運営者はMFA承認済みの認証トークンを窃取できます。これにより、ログイン処理全体を完全に迂回し、被害者のアカウントへ直接侵入することが可能になります。
侵入後は、Outlookのメールボックスやチームの会話、SharePointサイトを調査します。さらに、Microsoft Graphを通じてOneDriveのファイルや連絡先、カレンダー、登録済みアプリケーションにもアクセスします。
現時点で被害者数は不明ですが、ZeroBECによると、Greatnessは少なくとも4年間にわたって活動を続けており、米国、英国、オーストラリア、カナダ、南アフリカのユーザーを標的にしているとのことです。
BleepingComputerによると、このプラットフォームは「数千人の登録者」を抱えるTelegramチャンネル上で販売されており、現在は月額289ドルで提供されています。
