複数の企業にまたがる少なくとも150人のMicrosoft Teamsユーザーを標的とした連携攻撃が確認されました。攻撃者は音声フィッシング(ビッシング)攻撃を通じて、リモート監視管理(RMM)ツールやマルウェアツールを被害者の端末にインストールさせようとしています。このキャンペーンでは、一部のケースで組織のドメインコントローラーの侵害も試みられています。
Palo Alto Networksの研究者たちは、彼らが「Spring Ring」と名付けたこの一連の作戦を1月から4月にかけて観測し、少なくとも10の組織にわたる従業員を標的にしていたことを確認しました。これは今週公開されたレポートによるものです。このキャンペーンは、従来型のメールフィッシングから、信頼された企業向けコラボレーションプラットフォームを介した攻撃へと軸足を移す流れを浮き彫りにしています。こうしたプラットフォームを利用することで、やり取りに信憑性が加わるためです。
Palo Alto Networksのスタッフ研究者であるNoam Sala氏は投稿の中で、「Spring Ring作戦は、ビッシングをTeamsのワークフローに組み込むことで、過去のキャンペーンから進化を遂げています」と述べています。「この変化により、攻撃は受動的なクリック誘導型の情報収集モデルから、リアルタイムでのやり取りへと移行しています」
攻撃は、一見無害なチャットから始まりますが、実際にはこれがビッシング通話の入り口となっています。攻撃者はこの通話中に、被害者にリモート監視管理(RMM)ツールや独自のマルウェアを実行させようと誘導します。より高度な攻撃バリエーションではさらに踏み込み、Sala氏によれば、攻撃者はビッシング通話から「組織のドメインコントローラー(DC)を狙った本格的なMicrosoft NT LAN Manager(NTLM)リレー攻撃」へと移行します。
ビッシング通話から侵害へ
ビッシングは増加傾向にあります。CrowdStrikeが公開した最近の脅威ハンティングレポートによれば、こうした攻撃は2026年上半期に倍増しました。Spring Ringキャンペーンが示しているのは、この勢いとともに攻撃手法自体も進化しているという点であり、攻撃者は信頼されたコラボレーションプラットフォームをビッシング攻撃の足がかりとして重視するようになっています。
Sala氏は、Palo Alto Insightsのブログ記事で「脅威アクターは従来型のフィッシング手法から、信頼されたコラボレーションツールへと着実に軸足を移しつつある」と指摘されている点を引用しつつ、「Spring Ringの活動は、脅威の状況全体に見られるソーシャルエンジニアリングキャンペーンへの広範な傾向を反映しています」と記しています。
実際、セキュリティ企業Suzu Labsの最高技術責任者(CTO)であるDenis Calderone氏は、「Spring Ringがここで行っていることは目新しいものではなく、彼らだけの手口でもありません」と指摘します。「この新しい手法を活用するさまざまなグループについて、今年に入ってから複数の報告が寄せられています」
Sala氏によれば、Spring Ringの攻撃はまず、組織の正規の社内サポート部門を模倣したアイデンティティを使ってMicrosoft Teamsのチャットを作成することから始まります。「攻撃者は、ヘルプデスク、IT支援、サポートスタッフといった、プロフェッショナルで緊急性を強調する表示名を選びます」と同氏は記しています。
チャットを作成した後、攻撃者は被害者に対して音声通話を開始します。被害者は自社のIT部門と話していると信じ込まされます。レポートによれば、その後攻撃者は、採用する2種類の攻撃経路のいずれかに応じて、標的となった従業員をリモート制御権限の付与や悪意あるペイロードの実行へと段階的に誘導していきます。
全体として、Spring Ringの背後にいる攻撃者は被害者との接触を確立しようと粘り強く試み、何度もアプローチを重ね、留守番電話にメッセージを残すことさえあります。Sala氏によれば、接触に成功したビッシング通話は最終的に10分から15分程度続くことが多いということです。
Spring Ringの2つの攻撃経路
研究者たちは、被害者との接触が確立された後にSpring Ringが用いる少なくとも2つの異なる攻撃パターンを観測しました。1つ目は正規のリモートアクセスツールを侵入口として利用するもので、Sala氏によれば、攻撃者はWindowsのクイックアシストやサードパーティ製のRMMソフトウェアを使うよう被害者を説得し、リモート制御権限を攻撃者に与えさせます。同氏によれば、脅威アクターはその後、基本的なホストおよびドメインの偵察を行った上で、難読化されたPowerShell製のRAT(遠隔操作型トロイの木馬)のダウンロードを試みましたが、この動きは最終的にエンドポイント保護によってブロックされました。
2つ目の攻撃経路はより複雑で、組織のインフラそのものの掌握を狙ったものです。接触の確立後、攻撃者は被害者に対し、クラウドインフラ上でホストされた組織・ユーザー固有のファイルへ誘導しますが、これらは実際には実行ファイルであり、永続化の仕組みを確立した上で隠れたMicrosoft Edgeインスタンスを起動し、拡張機能をサイドロードするものでした。
Sala氏によれば、その後攻撃者は組織内ネットワークの偵察を開始し、NTLM認証トラフィックを生成しました。中でも最も深刻だったのは、PetitPotamを悪用したNTLMリレー攻撃の試みです。同氏によれば、この攻撃はドメインコントローラーを騙して攻撃者が制御するインフラへの認証を行わせることを狙ったもので、成功していれば最終的にドメインレベルの侵害にまでエスカレートしていた可能性があるとのことです。Unit 42のマネージド検知サービスが最終的にこの乗っ取りの試みをブロックしたと同氏は付け加えています。
リスク管理企業Hoxhuntの共同創業者兼CEOであるMika Aalto氏は、Spring Ring作戦が、脅威アクターがIT部門のサポートプロセスをいかに悪用して攻撃を実行しているかを示していると指摘します。「攻撃者はこう考えています。単一のアカウントに侵入するより、IDを生成・管理するシステムそのものを狙う方が効率的だと。窓を割ったり、合鍵を盗んだりする代わりに、彼らは錠前屋そのものを標的にしているのです」とAalto氏は述べます。「ヘルプデスクのワークフローを掌握できれば、実質的に組織全体の多数のシステムを解錠できるマスターキーを手に入れることになります」
防御側もビッシングの脅威に適応すべき
Spring Ringは、攻撃者がビジネス向けコラボレーションプラットフォームをソーシャルエンジニアリングを用いたビッシング攻撃への入り口として活用する動きを強めていることを示していますが、Sala氏によれば、彼らはそこにとどまらず、ソフトウェア・アズ・ア・サービス(SaaS)プラットフォーム全体に足場を築く方向へさらに深く踏み込んでいく可能性が高いとされています。
「今後、攻撃者はSaaSエコシステム内で活動する能力をさらに洗練させていく可能性があります」と同氏は記しています。「これらのプラットフォームは単なる初期侵入経路にとどまらず、機密性の高いドキュメント、業務ワークフロー、コミュニケーションログを含んでおり、これらを悪用すれば攻撃者が攻撃チェーンをさらに進展させることが可能になります」
これは、防御側が「信頼されたSaaSアプリケーションは本質的に安全というわけではない」ことを理解し、進化し続ける攻撃手法にあわせて適応していく必要があることを意味します。「今やIDが主要な防御境界であり、私たちが日常のコミュニケーションで頼りにしているプラットフォームが武器化されつつあります」とSala氏は指摘します。
その対策の一つとして、コラボレーションプラットフォーム上で不特定の外部から届く連絡について、ユーザー教育を優先することが挙げられると同氏は付け加えています。
しかしCalderone氏は、こうした教育は従来型の意識啓発トレーニングの範囲を超える必要があると強調します。従来のトレーニングは「実際にはこうした事態に対する備えにはなっていない」というのです。
「これまでの教育は『リンクをクリックしない』『送信者を確認する』といった内容が中心でした」と同氏は述べます。その代わりに、組織は「実際に起こり得るシナリオを具体的に作り込み、ユーザー自身にリスクを考えさせる仕組みを構築する必要があります」とCalderone氏は言います。「見知らぬヘルプデスク担当者を名乗る人物が突然現れてプログラムの実行を求めてきたときに、『何かおかしい』と感じ取れる勘を養う手助けをする必要があるのです」とアドバイスしています。
Palo Altoはまた、組織に対し、ID起点の異常を横展開へとエスカレートする前に検知できるよう、強固な行動監視を実施することを推奨しています。
