セキュリティ企業ReliaQuestは、自社従業員の1人がソーシャルエンジニアリング攻撃に引っかかり、攻撃者にパスワードを渡してしまったうえ、同社のID管理システムへの短時間のアクセスを許してしまったことを認めました。
この事実が明らかになったのは、恐喝グループShinyHuntersが自らのリークサイトにスクリーンショットを投稿し、さらに大きな戦果を主張したことがきっかけでした。
この事件の数日前には、X(旧Twitter)上で異例のやり取りがありました。先週の8月17日、ReliaQuest Threat ResearchはX上で、企業名を使って.claimsトップレベルドメイン(TLD)のドメインを登録するという、ShinyHuntersによるより広範なキャンペーンについて投稿していました。同社は、このグループが法務チームやヘルプデスク、IT担当者になりすます手口にまで戦術を拡大していると警告していました。
これに対し@odysseusgroupのアカウントがスクリーンショットとともに「誰が誰を狩っているんだ?(Who’s hunting who?)」という挑発的なメッセージを返信し、研究者たち自身が標的にされたことを示唆しました。これらの投稿はその後削除されています。
この事件について独自の報告を公開したSOCRadarによると、ReliaQuestの名を挙げたリストが8月23日にShinyHunters関連のリークサイトに掲載されたということです。
同じ8月23日、ReliaQuestも事件の経緯について自社の見解を公表しました。
「2026年8月22日、ReliaQuestはソーシャルエンジニアリング攻撃の標的となりました。1件のIDが一時的に露出した以外は失敗に終わりましたが、この試みは脅威アクターグループの根強い手口と、あらゆる組織がそれに対してどう身を守れるかを改めて思い起こさせるものでした」と同社はブログ投稿で述べています。
ReliaQuestによると、攻撃者は同社そっくりのドメインを構築し、ReliaQuest従業員向けの偽シングルサインオン(SSO)ページを用意して、コンテンツデリバリーネットワークの背後に隠していました。その上で複数の従業員に電話をかけ、それぞれセキュリティチームの実在するメンバーを名乗りながら、偽のログインページへ誘導しようとしていたということです。
ある従業員がパスワードを入力し、スマートフォンに送られてきたMFAのプッシュ通知を承認してしまいました。これにより攻撃者は、同社のID管理ダッシュボードへ短時間アクセスできる状態を手に入れました。
「アクセスの範囲は閲覧のみに限られていました。ReliaQuestのアプリケーションやシステムへのアクセスは一切なく、顧客データにも触れられていません。脅威アクターはダッシュボードからこれらのアプリケーションへのアクセスを繰り返し試みましたが、導入済みのセキュリティ管理策により一貫して拒否されました」と同社は説明しています。
「フィッシングは効果があります」とReliaQuestは記しており、すでに従業員の名前を知っている電話の相手であれば、訓練を受けたスタッフでさえ騙されてしまうことがあると付け加えています。
ReliaQuestによれば、攻撃が拡大しなかったのは、ID管理システムへのログインが他のあらゆるものへのアクセスを自動的に許すわけではなかったためです。有効な認証情報を持っていたとしても、あらかじめ同社に信頼された端末でなければ、社内のアプリケーションにアクセスすることはできませんでした。
侵入を検知した後、同社は攻撃者のセッションを強制終了させ、パスワードのリセットを強制し、該当アカウントに紐づくすべての認証要素をリセットしたとしています。
「他のIDへのアクセスは一切なく、業務アプリケーションへの到達もなく、ログイン認証情報を除いて顧客データやReliaQuestのデータへのアクセスもなく、持続的な足場の確保も行われていません。ReliaQuestが侵害された、あるいはランサムウェアの標的にされたという主張は事実ではありません」と同社は付け加えています。
一方でShinyHuntersは、これとは異なる話を展開しています。「今回の投稿はお前たちについてであって、我々についてではない。Mandiantに正確な報告と助言をさせておけ、消え失せろ」と、同グループのリークサイトには、ReliaQuestのOkta SSOアカウントへのアクセスを示すとみられるスクリーンショットとともにメッセージが掲載されています。
こうした状況では、真実はしばしば両者の主張の間のどこかにあるものです。
翻訳元: https://www.helpnetsecurity.com/2026/08/25/reliaquest-breach-social-engineering/
