盗まれたGreatnessトークンが、フィッシングから2週間以上経ってもMicrosoft 365への不正アクセスを可能にしていることが判明

盗まれたGreatnessの認証トークンは、最初のフィッシング攻撃から2週間以上経過した後も、被害者のMicrosoft 365テナントに対してMFA承認済みの持続的なアクセスを提供し続けています。この事実は、このAiTM型PhaaS(サービスとしてのフィッシング)エコシステムを支えている真の脅威が、パスワード窃取ではなくトークンリプレイであることを浮き彫りにしています。

Greatnessは2023年5月にCisco Talosによって初めて報告され、その後Hornet Security、Trellix、HALOCK、Sekoiaによっても取り上げられてきました。現在では標的範囲をMicrosoft 365からiCloud、Yahoo、Google Workspaceにまで拡大していますが、依然として企業のM365環境への侵害を主眼としています。

このプラットフォームはTelegramを通じて完全に収益化されており、3,220人の登録者を抱えるbotと公開チャンネルを介して運営されています。月額289ドルというサブスクリプションモデルを採用しており、月額400ドルのForg365など同種のAiTMキットよりも安価な価格設定になっています。

運営者はbot経由で登録すると試用ライセンスを受け取り、api-[token].[base-domain]という命名規則に従ったフィッシングインフラを提供されます。

そこからWebベースの「O365パネル」が、詳細なキャンペーンのテレメトリ情報を表示します。総クッキー数・アカウント数、訪問回数、ライセンス残日数、ブロックしたボット数、被害者の地理的分布マップに加え、ドメイン・キャプチャ・テーマ・リダイレクト挙動の設定コントロール、そしてボイスメール、OneDrive、QRコード、動画、Windowsエクスプローラーなどのテーマを含む11種類以上のダウンロード可能な誘導用テンプレートも用意されています。

今回の調査は、ZeroBECによって保護されているRingCentral顧客に対する実際の攻撃キャンペーンをきっかけに始まりました。4件の偽装ボイスメール型の誘導メールは、いずれもservice@ringcentral[.]comからIONOSのインフラを経由して送信されており、DKIMが設定されておらずSPFとDMARCも失敗していたにもかかわらず、Spam Confidence Levelが-1(明示的な信頼扱い)に設定されたMicrosoft 365の受信トレイに到達していました。

根本原因はゲートウェイの不備ではなく、設定ミスにありました。ドメイン単位の安全な送信者除外設定により、認証状態にかかわらずringcentral[.]comを名乗るものはすべて信頼するよう、システムに指示が出されていたのです。

攻撃者はこの信頼関係を明確に悪用し、疑念を先回りして払拭するために「This sender has been verified by [organization].com safe senders list(この送信者は[organization].comの安全な送信者リストで検証済みです)」という虚偽のバナーを追加し、Microsoft風の「Open Message」ボタンのクリックを誘導していました。

ハッキングとクラッキング

RingCentralが選ばれたのは戦略的な理由からです。RingCentralは広く導入されており、一般的に許可対象とされることが多いうえ、最近ランサムウェアインシデントを公表し、顧客データの流出をめぐる懸念が高まっていました。

RingCentral自身やAbnormal Security、JoeSandboxなど複数の組織が過去にRingCentralを騙るフィッシングを報告してきましたが、Greatnessは重要な工夫を加えています。単にRingCentralになりすますだけでなく、まさに正規のRingCentral顧客であるがゆえに存在する「安全な送信者」除外設定そのものを悪用の武器にしているのです。

この含意は同ベンダーにとどまりません。顧客リストが流出したベンダーであれば、どのベンダーであっても、どの組織がそのベンダーのドメインを無条件に信頼している可能性が高いか、つまり同様のバイパス手法に対して脆弱かを同時に明らかにしてしまうことになります。

パネルへのアクセスとドメイン横断でのテスト検証により、Greatnessはすべての運営者ドメインにまたがる単一の集中型バックエンドを運用していることが確認されました。

ZeroBECの最新調査は、Greatnessというフィッシングサービス型プラットフォームが、アドバーサリー・イン・ザ・ミドル(AiTM)による認証情報・トークン窃取、デバイスコードフィッシング、OAuth同意の悪用を、単一の共有バックエンドから組み合わせて実行する、成熟した商用キットであることを示しています。

あるドメイン(例えばnawarra[.]top)向けに発行されたトークン(4am16l1tmなど)は、xdccoc[.]topやonewayoutolook[.]oneといった別ドメインでも受け付けられており、統一されたライセンス検証システムとインフラが存在することを裏付けていました。

すべてのフィッシングドメインはCloudflareを前面に配置しており、PHP 8.2.12上のLaravelホスティングという特徴的なフィンガープリントを持ち、ワイルドカードDNSを使用しているほか、ライセンス期限切れ時には一貫したJSONエラーレスポンスを返します。

「Open Message」ボタンをクリックした被害者は、5段階の連鎖を経由させられます。正規のクリックトラッキングサービス、16進数・ROT13・Base64による難読化と「just a momment」という定番のタイプミスを含むページタイトルを使う解析回避用リダイレクター(finreportviewersoftware[.]sbs)がその内容です。

さらにボットや自動化検知を行うGreatnessのAPIエンドポイント、Cloudflare Turnstile風の「Security Verification」ゲートを経て、最終的に完全なMicrosoft 365 AiTMプロキシ、あるいはデバイスコードフィッシングのフローのいずれかに誘導されます。

盗まれたGreatness認証トークン

AiTM経路では、MFAの番号照合を含む正規のMicrosoftサインインプロセスがそのまま中継され、有効かつMFA承認済みのトークンが取得された後、疑念を抱かせないようraymondjames[.]comのような正規の金融系コンテンツへ被害者がリダイレクトされます。

デバイスコード経路では、OAuthデバイス認可の仕組みが悪用されます。DocuSignを装った誘導と、greatwallwebsite[.]blog/admin/apifiles[.]phpを呼び出すJavaScriptのpoll()関数が使われており、これによってGreatnessの管理バックエンドが露見し、エコシステム全体のより広範なマッピングが可能になりました。

制御された検証環境から得られたEntra IDのサインインテレメトリからは、Greatnessの運営者が単にパスワードを収集するだけでなく、商用VPNインフラを複数の地域にまたがって利用し、盗んだトークンを実際に運用に組み込んでいることが分かります。

gen-vpn[.]comを名乗るLimestone Networks所有のVPS(38.248.95[.]214)は、AiTMプロキシおよび認証後のサインインIPとして最も頻繁に確認されており、同一/24範囲内の兄弟ホストも同一のフィンガープリントを示しています。

このほかにも、46.173.240[.]0/24および158.173.166[.]0/24の範囲に由来する活動クラスターが確認されており、ExpressVPN、EventVPN/Netshield、PIA VPNの出口ノードと紐付いています。これらはGraph API経由でOutlook、Teams、SharePoint、OneDrive、カレンダー、連絡先、登録済みアプリケーションといった項目を体系的に列挙する挙動を見せています。

最も憂慮すべき発見は、その持続性です。RingCentralを装ったフィッシング攻撃の最初の波から2週間以上が経過した後も、同じAiTMプロキシIPが条件付きアクセスポリシーの適用がないまま、被害者のMicrosoft 365アカウントへの認証に成功し続けていました。これは、AiTMによって窃取されたトークンが長期にわたる不正アクセスをもたらし得ることを示しています。

したがって、この組織の防御を破ったセキュリティ設定の不備は二重構造になっていました。フィッシングメールの到達を許した安全な送信者除外設定と、認証情報のローテーションのみに重点を置き、トークンおよびリフレッシュトークンの包括的な失効処理を怠っていたID層の制御です。

セキュリティトレーニングコース

URLQueryはこの活動を「honeystorm」タグの下で追跡しており、2026年4月以降、50件を超える一貫したGreatnessキャンペーンを確認しています。またSekoiaは、このキットに対応する検知ルールを標準搭載しています。

ZeroBECの分析は、Cisco Talos、Hornet Security、Trellix、HALOCK、CISAのAiTMに関する注意喚起、そしてForg365、Sneaky 2FA、DEBULL(Storm-2372)に関するZeroBEC自身の過去の調査結果と合わせて考えると、一部のエコシステムにおける「HoneyStorm」がGreatnessの別名にほかならないことを裏付けています。

したがって、この脅威を追跡する防御担当者は、GreatnessとHoneyStorm双方の呼称、「just a momment」というリダイレクター名やPHP 8.2.12を使うCloudflareドメインといったインフラのフィンガープリント、そしてVPNでホストされたプロキシIPの範囲を手がかりに調査を進めるとともに、ベンダー単位の安全な送信者リストを監査し、認証状態に応じた条件付き信頼ポリシーを徹底する必要があります。

侵害指標(IOC)

注: IPアドレスおよびドメインは、誤って名前解決やハイパーリンク化されるのを防ぐため、意図的に無害化表記(例: [.])にしています。実際の形式に戻す場合は、MISP、VirusTotal、あるいはお使いのSIEMなど、管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。

2026年版Agentic SOC購入ガイドを活用すべき理由とは? 8つの主要プラットフォームを比較 – 2026年版購入ガイドをダウンロード