ReliaQuestが確認、ShinyHuntersの侵害後に発生したデータ窃取攻撃は失敗

サイバーセキュリティ企業ReliaQuestは、攻撃者がセキュリティチームのメンバーになりすまし、同社従業員1名を標的にしたソーシャルエンジニアリング攻撃を仕掛けていたことを確認しました。

週末に発表した声明の中でReliaQuestは、攻撃者が複数の従業員に電話をかけ、「コンテンツデリバリーネットワークの背後に隠された偽のReliaQuestシングルサインオン(SSO)ページ」にアクセスさせようとしたと明らかにしました。

先週、ReliaQuestの脅威リサーチチームは現在は削除された投稿で、恐喝グループShinyHuntersが企業のヘルプデスクやITチームになりすますために.claimsドメインを登録していると報告していました。

「ReliaQuestは、company[.]claimsというパターンに従うドメインを使用した、広範囲にわたるShinyHuntersのキャンペーンを追跡しています。これらのドメインは、標的となった組織の名称や略称を.claimsというTLDに組み込んでいます」とReliaQuestはX上の投稿で述べていました。

同社によると、脅威アクターはフィッシングページを「なりすましドメイン」上でホストしており、BleepingComputerの調査ではこのドメインはreliaquest.claimsであることが判明しました。またビッシング(音声フィッシング)の試みでは、実在するセキュリティ担当従業員の名前が使用されていました。

標的となった従業員のうち1名がこの攻撃者の策略に引っかかり、偽のSSOページに認証情報を入力した上、MFAのプッシュ通知を承認してしまいました。これにより攻撃者は、ReliaQuestのIDダッシュボードへの一時的な閲覧専用アクセス権を得ることになりました。

しかし同社によると、デバイス信頼制御機能により、そのダッシュボードを経由して各種アプリケーションへアクセスしようとするその後の試みはすべてブロックされたということです。

「アクセスの範囲は閲覧専用にとどまりました。ReliaQuestのアプリケーションやシステムへのアクセスは一切発生せず、顧客データにも一切触れられていません」とReliaQuestは説明しています。

「脅威アクターはその後もダッシュボードからこれらのアプリケーションへのアクセスを試み続けましたが、導入済みのセキュリティ制御によって一貫して阻止されました」

同社は攻撃者のセッションを終了させ、漏えいしたパスワードを失効させた上で、認証トークンをすべてリセットしたとしています。

その後の調査では、他のアカウント、アプリケーション、データへのアクセスの形跡は一切確認されず、攻撃者がReliaQuestのシステム内に永続的な足がかりを確立した兆候も見つかりませんでした。

同社は8月21日以降、制御機能の正確性、デバイス信頼、ネットワーク内アクセスについて監査を行いましたが、不審な活動は確認されませんでした。

ShinyHuntersが攻撃を主張

ReliaQuestのこの声明は、悪名高いデータ恐喝グループ「ShinyHunters」が同社への攻撃を主張した直後に発表されたものです。

ShinyHuntersは自らの恐喝用ポータルサイトへの新たな投稿の中で、ReliaQuestが過去に同グループについて報じてきたことに触れ、「今回の投稿の主役は我々ではなく、お前だ」と述べています。

この脅威アクターは、ReliaQuestのOkta SSOアカウントへの侵入に成功したことを示すアクセスの証拠を公開しました。

本件がShinyHuntersと関連しているかどうかについてReliaQuestに問い合わせましたが、現時点で追加情報は得られていません。

一方でShinyHuntersはBleepingComputerに対し、自分たちのアクセスは閲覧専用にとどまり、アプリケーション、システム、顧客データのいずれにも到達していないと説明しています。

「それ以上のIDへのアクセスは一切行っておらず、業務用アプリケーションにも到達していません。ユーザーのログイン認証情報を除き、顧客データやReliaQuestのデータへのアクセスも一切なく、永続的な足がかりも確立していません」と、この脅威アクターは本誌の取材に対して語りました。