ReliaQuestは、脅威アクターが自社のセキュリティ担当者になりすまし、なりすましドメインを使用して、従業員1名に悪意ある多要素認証（MFA）リクエストを承認させることに成功した標的型ソーシャルエンジニアリング攻撃を報告しました。
セキュリティ製品・サービス
2026年8月22日に検知されたこのインシデントでは、ReliaQuestのIDダッシュボードに対する閲覧専用アクセス権を持つIDセッション1件が一時的に露出する結果となりました。
幸いにも、同社によれば、セキュリティ管理策により攻撃者がビジネスアプリケーション、顧客環境、社内システムにアクセスすることは防がれたとのことです。
ReliaQuestはリソースセンターおよびブログチャンネルを通じて脅威リサーチ資料を公開しています。
ReliaQuestによると、この攻撃キャンペーンは、同社の正規のWebインフラに酷似した偽ドメインの登録から始まりました。
攻撃者はコンテンツ配信ネットワーク（CDN）を利用して、ReliaQuestのシングルサインオン（SSO）ポータルを模した偽サイトを構築しました。この手法により、フィッシングインフラの耐久性が高まり、不審に見えにくくなります。
続いて攻撃者は、複数の従業員を標的とした電話によるソーシャルエンジニアリング、いわゆるビッシングを実行しました。通話の中で攻撃者はReliaQuestのセキュリティ担当者の実名を名乗り、従業員に対して偽のSSOページ経由での認証を指示しました。
ある従業員がこの偽ポータルにパスワードを入力し、自身のモバイル端末に送信された悪意あるMFAプッシュ通知を承認してしまったことで、攻撃者は同組織のID管理環境内で短時間有効なセッションを取得しました。
ReliaQuestの発表によると、侵害されたセッションはIDダッシュボードへの閲覧専用アクセス権しか持っていませんでした。攻撃者はこのアクセス権を使って他のアプリケーションへの侵入を試みましたが、同社のセキュリティ管理策によって阻止されました。
同社は、管理下にない、または社外のデバイスによる企業アプリケーション・システムへのアクセスを防ぐデバイス信頼制御を含む多層防御モデルが、今回のインシデントの封じ込めに寄与したとしています。インシデント対応では、悪意あるセッションの終了、影響を受けたパスワードの失効、当該IDに紐づくすべての認証要素のリセットが行われました。
その後の調査では、デバイス信頼制御の運用状況、ネットワーク内アクセス、IDログ、管理策の有効性、そして直近48時間の不審な活動の有無が確認されました。
ReliaQuestは、他に侵害されたIDは確認されていないこと、永続化の仕組みは確立されていないこと、そして露出したログイン認証情報以外に顧客データや社内データへのアクセスはなかったことを報告しています。
また同社は、ランサムウェアインシデントやより広範な侵害が発生したとする主張についても否定しています。
今回の攻撃は、類似ドメインの迅速な登録、CDNを利用したインフラによるフィッシングコンテンツの配信、従業員へのなりすまし、パスワードの窃取、MFAプロンプトの承認、新規認証器の登録試行といった、ID侵害を狙う攻撃に共通するパターンを示しています。
ユーザーがプロンプトを承認するよう仕向けられてしまう以上、MFAだけでは攻撃を防ぎきれません。組織は、MFAとFIDO2セキュリティキーやパスキーといったフィッシング耐性の高い認証手段を組み合わせるとともに、デバイスの状態確認を徹底し、認証器の登録を制限し、IDプロバイダーのセッションを継続的に監視して異常な活動がないか確認する必要があります。
セキュリティチームはまた、IT部門やセキュリティ担当者を名乗る予期しない電話を、本人確認が必要な事象として扱うべきです。従業員は、発信者の指示に従ったり提示されたログインページにアクセスしたりするのではなく、信頼できる社内チャンネルを通じて独自にリクエストの正当性を確認する必要があります。
調査の遅れによるインシデントを防ぎましょう。15,000のSOCから得られる脅威インテリジェンスでTier 1を強化： TI Lookupを自社のSOCに統合する
翻訳元: https://gbhackers.com/hackers-impersonate-security-staff-to-steal-credentials-in-reliaquest/