偽リクルーター詐欺、モバイル端末で企業の認証情報を標的に

偽の採用担当者を装う詐欺キャンペーンが、モバイル端末を狙って企業の認証情報を標的にしていることが分かりました。全画面表示のログインページを使用し、事前審査によって個人用メールアドレスを拒否し、企業アカウントに絞り込む手口が確認されています。

Zimperiumのゼロラボ（zLabs）の研究者らがこの活動を分析し、大手企業になりすました採用関連ドメインに関連する、これまで未公開だった46件の侵害指標（IOC）を特定しました。

8月24日付の調査報告によると、このキャンペーンは複数のクラウド、ホスティング、ドメインパーキング事業者にまたがって継続的に展開されていたことが判明しました。

採用ページが企業ターゲットを選別

Zimperiumが「RecruitTrap」の活動として追跡しているこのキャンペーンは、採用や国際的な人材紹介を連想させる名称のドメインを使い、雇用主やリクルーターになりすましていました。研究者らは、Amazon、Apple、Boeing、Deloitte、Emirates Group、Heineken、Lego、Louis Vuittonなど、複数のブランドになりすました事例を確認しています。

デスクトップ端末では、被害者は模擬的な「ブラウザ内ブラウザ」(BitB)型の偽ログイン画面に遭遇する可能性があります。一方、モバイル端末では、フィッシングの流れとして全画面表示の偽ログインページが表示され、アドレスバーなど、ユーザーが欺瞞に気づく手がかりとなり得るブラウザの要素が排除されています。

このフィッシングキットは、入力された情報の選別も行っていました。Zimperiumの調査では、個人用メールドメインを拒否し、企業の認証情報の入力を要求する仕様になっていることが判明しており、企業リソースへのアクセスを提供し得るアカウントを優先的に狙う設計であることがうかがえます。

Zimperiumによると、攻撃者が企業アカウントへのアクセスを獲得した場合、OAuthトークンを取得し、社内のコミュニケーションツールやクラウドアプリケーションにアクセスできる可能性があります。研究者らは、これが組織内でのさらなる侵害拡大を助長し得ると指摘しています。

モバイルフィッシングに関する関連記事: モバイルフィッシング攻撃が急増、米国のインシデントの16%を占める

ホスティング事業者をまたいで存続するインフラ

Zimperiumが1年間にわたるテレメトリーデータを分析した結果、これらの採用関連ドメインは、目立たないネットワーク間を絶えず移動するのではなく、繰り返し使われるクラウド、ホスティング、パーキング用インフラにとどまり続ける傾向があることが分かりました。

自律システム番号（ASN）レベルで見ると、AmazonとSEDOが最も頻繁に観測された事業者に含まれていました。

Zimperiumは、なりすまし採用ドメインがこのように存続し続けることで、従来型のURLブロックリストに抜け穴が生じる可能性があると指摘しています。新規登録されたサイトは、公開されている脅威情報フィードに登録される前に、稼働状態のまま放置されることがあるためです。

この種の脅威、および類似の脅威から防御するため、同社はデスクトップ向けのWebゲートウェイや静的なURLブロックリストのみに頼るのではなく、モバイル端末の接点で企業のIDを保護し、認証情報窃取の試みを検知するためにネットワークトラフィックを動的に検査することを推奨しています。