ある脅威アクターが、複数の大手企業のMicrosoft Azure環境から数百万件の従業員データを盗み出したと主張しており、この情報が標的型フィッシング、なりすまし、権限昇格攻撃に悪用される懸念が広がっています。
「TheHatman」と名乗るこの脅威アクターは、McDonald’s、Vodafone、Kyndryl、Tata Consultancy Services(TCS)、HCL Technologies、InterContinental Hotels Group、Gap、Hexaware Technologies、Wyndham Hotelsを含む企業の社内従業員ディレクトリをサイバー犯罪フォーラムに投稿し、販売していると報じられています。
複数の情報筋によると、データのサンプルには企業のメールアドレスや、標準的なAzureディレクトリのエクスポート形式と一致するフィールドが含まれていました。しかし、アクセスに使われた正確な手法は確認されていません。
研究者によると、被害を受けた組織の多くに関連する漏洩済み認証情報は、以前から情報窃取マルウェア(インフォスティーラー)感染をきっかけに出回っていたとのことです。環境への侵入経路としては、盗まれたセッショントークン、フィッシング、脆弱な多要素認証(MFA)保護、あるいは過剰な権限を持つサードパーティ連携などが考えられます。
従業員データが攻撃者に攻撃の道筋を与える
今回盗まれたとされる情報には、従業員ID、役職、部署、報告系統、グループメンバーシップ、サービスアカウント、そして場合によってはグローバル管理者アカウントの詳細まで含まれています。
Acumen CyberのプリンシパルコンサルタントであるCian Heasley氏は、一見無害に見える情報であっても、さらなる攻撃の土台となり得ると警告しています。
Heasley氏は次のように述べています。「氏名、役職、電話番号、サービスアカウントのラベル、グローバル管理者のIDといった情報は、より価値の高いアカウントやシステムを狙った、説得力のある標的型フィッシング、電話を使ったソーシャルエンジニアリング、ヘルプデスクへのなりすまし申請といった攻撃を組み立てるために必要な前提条件そのものです」
同氏はまた、古い従業員情報を無関係だと切り捨てるべきではないとも警告しています。
「企業の組織図はゆっくりとしか変わりませんし、サービスアカウントの命名規則もめったに変更されません。過去の漏洩データダンプは、当初の侵害から何年も経った後でも、新たな攻撃の計画・実行を後押しする材料として有用であり続ける可能性があります」
TCSは、自社のシステムや顧客環境が侵害されたことを示す信頼できる証拠は見つかっていないとしています。同社によると、言及されている情報は4年以上前のもので、基本的な従業員情報に限られているとのことです。
盗まれた認証情報がクラウド環境をリスクにさらす
HuntressのEMEA担当vCISO兼サイバーセキュリティアドバイザーであるMuhammad Yahya Patel氏は、今回の事件が、情報窃取マルウェアの感染がいかにクラウド侵害につながり得るかを示していると述べています。
「企業のデバイスから認証情報を収集する情報窃取マルウェア、それが犯罪者のマーケットプレイスに流出すること、そして脅威アクターがそれらの認証情報を使い、十分な検証を行わないままその認証情報を信頼していたクラウド環境にアクセスすること。これは毎回同じ手口です。侵害通知に書かれるロゴが違うだけです」
Patel氏は、クラウドIDインフラのセキュリティは、それにアクセスする認証情報とデバイスのセキュリティ次第で決まると述べています。
「条件付きアクセスポリシー、継続的アクセス評価、デバイスコンプライアンスチェック、そしてリアルタイムでの認証情報侵害検知——これらこそが、『情報窃取マルウェアによる認証情報の窃取』と『攻撃者がクラウド環境内部に侵入している状態』との間のギャップを埋める制御策です」
同氏は、今回販売されているとされる従業員情報を、標的型フィッシングや幹部へのなりすましのための「精密ターゲティングキット」だと表現しています。
正当な認証情報があるからといって無制限のデータアクセスが許されるべきではない
Certesの最高技術責任者(CTO)であるSimon Pamplin氏は、今回の事件が、正規の認証情報が侵害された後に攻撃者が何をできてしまうのかという問題も提起していると述べています。
Pamplin氏は次のように述べています。「盗まれた認証情報が、そのままデータの窃取につながってはならないはずです。それこそが、今回のキャンペーンにおける本当の問題です」
「侵害された認証情報を使って企業のクラウド環境から大量の情報を抽出できたと報じられている点は、認証の成功が事実上データへのアクセスおよび移動の許可とみなされてしまった場合に何が起こり得るかを示しています」
Pamplin氏は、組織は認証情報が時に盗まれることを前提とし、あるIDが侵害されたからといって機密情報が自動的に読み取り可能な状態にならないようにする必要があると主張しています。
「クラウドセキュリティでは、IDとデータ自体の制御を切り離す必要があります。機密性の高いデータの流れは、独立して暗号化・セグメント化・管理されるべきであり、あるアカウントが侵害されたからといって、環境内を自由に移動できてしまうことがあってはなりません」
今回の事件は、サプライチェーンへの影響も懸念されます。Heasley氏は、名前が挙がった組織の中に大手ITサービスプロバイダーが含まれている点を指摘し、企業は自社の環境に対して特権的なアクセス権を持つサプライヤーがどこかを見直すべきだと警告しています。
今回の事案は、データの窃取が必ずしも身代金要求を伴って発覚するわけではないことを改めて示しています。今回のケースでは、脅威アクターは情報を直接販売しようとしているとみられ、被害組織はデータが犯罪フォーラム上に現れて初めて窃取の事実を知ることになる可能性があります。
