IT ヘルプデスクを装ったビッシング(音声フィッシング)電話、盗み取られたセッショントークン、そして住宅用プロキシ経由で行われるサインインが、Microsoft 365をはじめとする各種SaaSアカウントを狙ったデータ窃取・恐喝攻撃の背後にあることが、Arctic Wolfの調査で明らかになりました。
同社はこの活動を「PREY-0058」という名称で追跡しており、Google Threat Intelligence Groupが「UNC6671」と呼ぶデータ恐喝グループと、手口の面でかなりの類似点があると指摘しています。
この恐喝活動を行うグループは、これまでBlackFile、Pink、Helix、Cinder、Redactなど複数の名称で呼ばれてきました。研究者らは、これらの名称が「単一の実証された攻撃者を指すというよりも、アフィリエイトやブランドの変遷、あるいは何らかの関係性を反映している可能性がある」と記しています。
また、Cinderのリークサイトに掲載された被害者リストが、過去にPink関連のフィッシングインフラで狙われた組織と重複していることから、CinderはPinkの後継であると中程度の確信度で評価しています。
「誘導用インフラのサブドメインを分析したところ、実在企業になりすましたエントリが数百件見つかりました。標的は主に米国内の組織で、建設・エンジニアリング業界、ヘルスケア・製薬業界、不動産・物件管理業界、金融業界、専門サービス業界に集中しています」とArctic Wolfは述べています。
「こうした攻撃は、取締役や副社長といった幹部クラスの職員を標的にすることが最も多くなっています。」
電話の手口
攻撃はまず、社内IT部門の人間を名乗る人物からの電話で始まります。パスキーやMFAの通常のセットアップ手続きのように見せかけながら従業員を誘導し、被害者自身の会社に属しているように偽装した認証ページへのリンクを送りつけます。このページは、多くの場合その会社名を冠したサブドメインとしてホスティングされています。
このページの裏側には、攻撃者が制御するAiTM(中間者攻撃)パネルが存在し、被害者ごとに手動でアクセスを制限しながらMicrosoft 365のログインフローを再現します。そこでパスワードとMFA承認を取得し、認証済みのセッショントークンを窃取する仕組みです。
侵入後、攻撃者はまず「マイサインイン」「マイプロファイル」「マイアプリ」といったページを開きます。これによりアカウントの詳細情報や、そのアカウントに紐づくアプリケーションの一覧が把握できます。その後、SharePointをサイトごと、ページごとに順を追って検索し、何も持ち出す前にまず保存されているデータの全体像を系統的に把握していきます。
最終段階では、攻撃者はSharePoint、OneDrive、Exchange、さらにはBoxなど他のSaaSプロバイダーからも一括でデータを収集し、外部へ持ち出します。
「観測されたExchangeでのデータ収集はMailItemsAccessedイベントを発生させ、SharePointおよびOneDriveでの収集は大量のFileAccessedおよびFileDownloadedイベントを発生させます。データ持ち出しに使用されたクライアントIPアドレスは、これまでデータセンターやホスティング関連のインフラに割り当てられたものが一般的でしたが、最近では初期アクセスの際に用いられたのと同じ住宅用プロキシネットワーク(NodeMavenなど)を利用する傾向に変化しています」とArctic Wolfは説明しています。
組織が取るべき対策
Arctic Wolfは、プロキシやホスティング関連のトラフィックをブロックまたはチャレンジ対象とするよう条件付きアクセスを強化すること、偽のログインページ経由での中継が不可能なフィッシング耐性の高いMFAに切り替えること、1つのSharePointアカウントがアクセスできる範囲を縮小すること、そしてヘルプデスク担当者にビッシング電話を見抜くための訓練を行うことを、組織に対して推奨しています。
「防御側は、住宅用プロキシによるトークンの異常な再利用、SharePointの探索行動や大量アクセス、メールボックスのハーベスティング、そして新規登録された認証関連の誘導インフラを検知することで、この種の活動を阻止できます」と同社は付け加えています。
Arctic Wolfはまた、自組織のログをこの攻撃クラスターと照合したい組織向けに、誘導用ドメイン、データ持ち出しに使われたASN、サインイン活動に関連する住宅用プロキシプロバイダーなどの侵害指標(IoC)を公開しています。
翻訳元: https://www.helpnetsecurity.com/2026/09/08/vishing-microsoft-365-data-theft-extortion/
