ReliaQuestは、ShinyHuntersによるソーシャルエンジニアリング攻撃の詳細を公表しました。同社の説明によれば、この攻撃により同社のアイデンティティ管理ダッシュボードが一時的に露出したものの、自社が侵害された、あるいはランサムウェアの標的になったとする主張は「虚偽」であると断言しています。
このセキュリティ脅威インテリジェンス企業は、悪名高い脅威グループによる新たなキャンペーンを調査していました。同社によると、このグループは.claimsドメインを使ったソーシャルエンジニアリング攻撃を展開しているとのことです。
8月17日、ReliaQuestがX(旧Twitter)に投稿した内容に対し、このグループのメンバーとみられる人物が、同社のOktaダッシュボードとみられるスクリーンショットとともに「誰が誰を狩っているのか？」というメッセージで返信しました。
このやり取りはその後Xから削除されましたが、SOCRadarによると、8月23日にはこのスクリーンショットがShinyHuntersに関連するリークサイト上に再び出現したということです。
関連記事: ShinyHuntersがCanvasへの恐喝を拡大、学校単位での身代金要求キャンペーンを展開
しかしその後、ReliaQuestは自社サイトに詳細な調査報告を公開し、これに反論しました。
同社は「ReliaQuestが侵害された、あるいはランサムウェアの標的になったとする主張は虚偽である」と述べています。
ソーシャルエンジニアリング攻撃の全容
この報告書によると、ReliaQuestは8月22日にソーシャルエンジニアリング攻撃の標的となりました。
「攻撃者はそっくりなドメインを登録し、コンテンツデリバリーネットワークの背後に偽のReliaQuestシングルサインオン(SSO)ページを構築しました」と同社は説明しています。
「攻撃者はその後、複数のReliaQuest従業員に電話をかけ、その都度実在するセキュリティ担当者の名前を名乗って偽ページへ誘導しようとしました。ある従業員がパスワードを入力し、スマートフォンに届いたプッシュ通知を承認してしまったことで、攻撃者は当社のアイデンティティ管理ダッシュボードへの短時間のセッションアクセスを得ることになりました」
ReliaQuestは、このアクセスが「閲覧のみ」に限られていたこと、そして攻撃者の試みにもかかわらず、アプリケーションやシステム、顧客データへのアクセスは一切なかったことを強調しています。
「当社の多層防御は、攻撃者がいずれ誰かのアカウントをフィッシングで突破するという前提から出発しています。フィッシングは効果的な手口です。十分な訓練を受けた人物であっても、同僚の名前を知る説得力のある発信者にだまされることがあります」と同社は続けています。
「当社では、IDプロバイダーへのサインインをもって何らかの操作を許可されたとはみなしません。当社の制御体制には、ReliaQuest以外のデバイスからのアプリケーションやシステムへのアクセスを防ぐデバイス信頼の仕組みが含まれており、封じ込め対応により攻撃者のセッションを終了させ、パスワードを失効させ、すべての認証要素をリセットしました」
ReliaQuestの報告内容は、SOCRadarによる本件の分析でも裏付けられています。
SOCRadarはShinyHuntersの投稿について次のように述べています。「これらのやり取りは、この攻撃者の圧力戦術と公然たる挑発を示すものではありますが、侵害の主張を裏付けるものでも、ReliaQuestのネットワークへのアクセスを証明するものでもありません」
翻訳元: https://www.infosecurity-magazine.com/news/reliaquest-not-compromised-by/
