大規模なAzureデータ流出キャンペーンがアンダーグラウンドフォーラムで進行しています。「TheHatman」と名乗る脅威アクターが、大手多国籍企業から取得したとされる社内従業員名簿を販売していると見られます。
このアクターは、盗まれた企業の認証情報を使って侵害したMicrosoft AzureおよびEntra IDのテナントからデータを抽出したと主張しており、クラウドディレクトリサービスに依存する企業にとって深刻なID関連セキュリティリスクが浮き彫りになっています。
出品情報によると、対象はテクノロジーサービス、ホスピタリティ、通信、小売、物流分野のフォーチュン500規模企業少なくとも9社に及ぶとされています。McDonald’s Corporationが最大のデータセットを持つとされ、170万件を超える従業員記録が含まれているといいます。
Tata Consultancy Servicesがこれに続き、約80万件の記録が含まれるとされているほか、Vodafone、HCL Technologies、InterContinental Hotels Group、Kyndryl、Gap Inc.、Hexaware Technologies、Wyndham Hotelsも販売投稿に名前が挙がっています。
Hudson Rockの研究者はこれらのデータセットのサンプルを検証し、情報は信憑性が高いと見られると述べています。データには企業のメールドメイン、テナント固有のonmicrosoft.comアドレス、標準的なAzureディレクトリのエクスポートデータに酷似したフィールドが含まれているとされています。
氏名とメールアドレスのみにとどまらず、これらのダンプには電話番号、物理的な住所、従業員ID、役職、部署、報告関係、上司の割り当て、部下の情報まで含まれているとされています。
最も深刻なのは、グループメンバーシップ、サービスアカウント情報、アクセスマッピング、さらには一部のケースでグローバル管理者アカウントの名前まで含まれていると報告されている点です。
こうした情報は、犯罪者に標的のID環境を詳細に把握するための設計図を与えることになりかねません。
攻撃者はこの情報を使って特権ユーザーを特定し、組織の報告系統をマッピングし、経営幹部やHR担当者、ヘルプデスク要員、IT管理者になりすました説得力のあるフィッシングメッセージを作成できます。初期侵入の手法は依然として確認されていません。
Hudson Rockの研究者は、TCS、Gap Inc.、HCL Technologies、Kyndrylを含む複数の企業で、インフォスティーラーの活動に関連する侵害されたAzure認証情報を特定したと報告しています。
この証拠は、Azureプラットフォーム自体の欠陥ではなく、盗まれたID関連情報がこの活動を可能にしたという見方を裏付けるものです。その影響は、従業員データの公開にとどまらない範囲にまで及ぶ可能性があります。
正確なディレクトリ情報は、ビジネスメール詐欺(BEC)、標的型ソーシャルエンジニアリング、アカウント乗っ取り、ランサムウェア攻撃を後押しする可能性があります。
特権アカウントやサービスアカウントに関する情報は、機微なシステムへの迅速な侵入経路を求める初期アクセスブローカーにとって特に有用です。
組織は、不審なサインイン、大量のディレクトリ列挙、見慣れないOAuthアプリケーション、異常なトークンの動きを直ちに調査すべきです。
フィッシング耐性のあるMFAの導入、盗まれた可能性のあるセッションの失効、漏えいした認証情報のローテーション、管理者ロールの見直し、サードパーティAPI権限の制限が不可欠です。
今回のキャンペーンは、クラウドIDの保護がエンドポイントやネットワークの防御と同じくらい重要になっていることを示しています。たった一つの侵害された認証情報が、企業の内部構造を露呈させ、攻撃者に深刻な侵入を実行するための情報を与えてしまう可能性があるのです。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの可視性を完全に確保し、SOCを強化してMTTRを短縮しましょう
翻訳元: https://cyberpress.org/hackers-use-compromised-azure-credentials/
