あるハッカーが、McDonald’s、Vodafone、TCSなどからAzure関連の従業員記録360万件を盗み出し販売していると主張していますが、侵害の事実はまだ確認されていません。
eSecurity Planet のコンテンツおよび製品紹介は、編集上の独立性を保っています。パートナーへのリンクをクリックいただくことで、当社が収益を得る場合があります。 詳細はこちら
「TheHatman」というハンドルネームを使うサイバー犯罪者が、McDonald’s、Vodafone、Tata Consultancy Servicesなど大手企業のMicrosoft Entra ID環境から入手したとする従業員ディレクトリ記録360万件以上を販売していると主張しています。
この売り手は、7月31日から8月中旬にかけて、DarkForum、PwnForums、BreachForumsStといったサイバー犯罪フォーラムで盗まれたとされるデータベースの宣伝を始めました。
最大規模の個別データセットは、McDonald’s Corporationから流出したとされる170万件以上の記録で、「侵害された認証情報を使ってAzureテナントから直接ダウンロードした社内従業員データ」として宣伝されています。
- Tata Consultancy Services(TCS): 約80万件
- Vodafone: 約42万5,000件
- HCL Technologies: 約25万件
- InterContinental Hotels Group(IHG): 約18万5,000件
- Kyndryl: 約17万件
- Gap Inc.: 約8万件
- Hexaware Technologies: 約2万件
- Wyndham Hotels: 約9,000件
これらのデータセットには、氏名、従業員ID、電話番号、郵送先住所、企業のメールアドレス(ネイティブの.onmicrosoft.comルーティングを含む)、役職、上司の割り当て、グループメンバーシップ、サービスアカウントおよびGlobal Administratorの一覧といった、企業ディレクトリの中核的な属性情報が含まれています。
プラットフォームの欠陥ではなく標的型窃取
脅威インテリジェンス企業のHudson Rockは、宣伝されているデータのサンプルを分析し、「本物である可能性が非常に高い」と評価しました。その根拠として、企業のメールアドレス構造やフィールドがMicrosoft Entra IDのディレクトリエクスポートと一致していることを挙げています。ただし、データセットの出所、経過年数、抽出方法については独自に確認されていません。
「サービスアカウントやグローバル管理者名が露出していることは特に懸念されます。これにより、こうした組織を標的とした後続のソーシャルエンジニアリング、スピアフィッシング、あるいは標的型の権限昇格攻撃への直接的な道筋が示されてしまうためです」とHudson Rockは指摘しています。
セキュリティアナリストは、今回の侵害の原因をAzure自体のゼロデイ脆弱性ではなく、インフォスティーラー型マルウェアによるものだと分析しています。このマルウェアは、感染した従業員のパソコンから保存済みのブラウザパスワードやセッショントークンを盗み出します。Hudson Rockは、TCS、Gap、HCL Technologies、Kyndrylを含む複数の被害企業に関連するインフォスティーラーのログから、侵害された認証情報を特定しました。
BleepingComputerによると、TCSとGapの両社は、最近ネットワークが侵害されたとする主張に反論しています。TCSはインド国立証券取引所に対し、社内調査の結果、侵入の信頼できる証拠は見つからなかったと報告し、さらに当該データは4年以上前のものと見られると付け加えました。Gapの広報担当者も同様に、予備調査では企業システムへの侵害は確認されておらず、宣伝されているデータは機密性のない古い情報だと述べています。
本当のリスクはこれから
たとえ記録の一部が古いものであったとしても、詳細な従業員ディレクトリは価値ある攻撃材料になり得ます。従業員の上司、役職、電話番号、企業メールアドレスを知っていれば、犯罪者はフィッシングやなりすましの試みを信憑性の高いものに見せかけるのに十分な情報を得られます。
管理者やサービスアカウントの情報が露出していることは、攻撃者がより深いアクセス権限を得られる可能性のあるアカウントを優先的に狙う手助けとなるため、リスクをさらに高めます。企業にとって、今回の事案はクラウドセキュリティの考え方の転換を浮き彫りにしています。パスワード保護だけではもはや十分ではありません。組織はまた、盗まれたセッショントークンやインフォスティーラー感染を監視し、ディレクトリの可視性を制限し、Entra環境にアクセスできるアプリケーションを厳格に管理する必要があります。
従業員にとっては、自分の役職、上司、勤務先の詳細をすでに把握しているような予期しない電話やメッセージには、特に注意を払う価値があります。
関連記事: 攻撃者がパスワード窃取にとどまらず、Microsoftの認証フローやセッショントークンをどのように標的にしているかについては、 「フィッシング手口がセッショントークンを狙いマルウェアを配信」をご覧ください。
