セキュリティ
研究者らが犯罪者の管理パネル内部に侵入し、461組織に紐づく5,137件の盗まれた記録を発見
数百組織を標的としたMicrosoft 365フィッシング作戦により、数千件のパスワードとセッションクッキーが窃取されていたことが分かりました。研究者らが犯罪者自身の管理パネルにアクセスして確認したところ、その中にはMFAを回避してアカウントを乗っ取れる認証済みセッションが数百件も含まれていたといいます。
CloudSEKのセキュリティ研究者らは、Microsoft 365ユーザーを標的とするEvilginx2ベースのフィッシング・アズ・ア・サービス「BigBear 2.0」の背後にある管理パネルにアクセスに成功したと明らかにしました。これにより、同キャンペーンとその被害規模について、これまでになく詳細な実態が明らかになりました。
研究者らによると、パネル内には461組織に関連する5,137件の記録が保存されており、その内訳は平文パスワードが1,032件、セッションクッキーが4,148件でした。CloudSEKはこのうち474件を、攻撃者がMicrosoft 365の認証済みセッションを丸ごと取得した「完全なMFA回避」の記録として分類しています。
これにより犯罪者の手に渡るのは、単なる受信トレイどころではありません。Microsoft 365アカウントが乗っ取られれば、メールやカレンダー、Teamsでのやり取り、さらにSharePointやOneDrive上のファイルまで露出する恐れがあります。CloudSEKによれば、アカウントの権限次第では、Entra IDやクラウドインフラ、連携先のSaaSアプリケーションへの侵入経路にもなり得るとのことで、ビジネスメール詐欺(BEC)や社内フィッシング、データ窃取、さらには内部への横展開に悪用されかねない格好の足がかりになります。
しかもこれは過去の事件の検証ではありません。CloudSEKによると、調査時点でもBigBearの作戦は稼働中でした。デフォルトのフィッシングテンプレート「offy」は、Microsoft 365の認証情報を横取りするために特化して設計されていたといいます。
BigBearは、Microsoft側のMFAを直接突破する必要がありません。代わりに、Evilginx2のインフラを利用し、被害者とMicrosoftの正規ログインサービスとの間に割り込む中間者(AiTM)プロキシとして機能します。
フィッシングサイトにアクセスした被害者は、攻撃者のサーバーを経由してプロキシされたMicrosoftのログイン画面を目にします。入力したユーザー名とパスワードはそのままMicrosoftへ送信され、続くMFAの要求にも応答する流れです。被害者の認証が成功すると、Microsoftはセッションクッキーを発行しますが、これも攻撃者のインフラを経由して被害者側に戻ってくる際に窃取されます。
このクッキーを盗み取ることで、攻撃者は認証済みセッションを再現し、トークンが失効または無効化されるまでの間、被害者に再度の認証を求められることなくMicrosoft 365のサービスにアクセスできる可能性があります。
セキュリティ研究者のGagan Aggarwal氏によると、BigBearのカスタマイズは標準のEvilginx2を上回る作り込みがなされているといいます。研究者らは、フィッシングページ上でFIDO2/WebAuthn認証を無効化するよう設計されたJavaScriptを発見しました。これにより被害者は、こうしたプロキシ攻撃に対して依然として脆弱なSMSコードやプッシュ通知、TOTPといった認証方式へと誘導されます。
この作戦ではさらに、69か国をカバーする住宅用プロキシのプールも使用されています。例えば被害者がインドにいる場合、BigBearはMicrosoftへの上流ログイン通信をインドの住宅用IPアドレス経由でルーティングし、地理的に不審に見えないよう偽装できます。また別のチェック機構により、データセンターやVPN、プロキシ経由でアクセスしてきた訪問者をブロックしようと試みており、自動スキャナーや研究者による調査を困難にしています。
CloudSEKによると、このインフラはマルチユーザー対応の管理パネルを通じて運用されており、少なくとも5つの提携運営者にリースされていました。盗まれた認証情報は、複数の別々のTelegramボットを介してリアルタイムで送信される仕組みです。研究者らは、このキャンペーンの活動期間中に42台のVPSノードを確認しており、7月下旬以降26台がパネルから削除され、CloudSEKが調査した時点で稼働していたのはわずか1台のみでした。
Aggarwal氏によると、BigBearを運営している人物は「General Boss」と名乗っているとのことです。CloudSEKはこの作戦を既知の国家支援型グループとは結び付けておらず、金銭目的とみています。窃取されたMicrosoft 365へのアクセス権は、ビジネスメール詐欺やデータ窃取に利用されるほか、単純に他の犯罪者に転売される可能性もあります。
CloudSEKは、フィッシング耐性を備えたFIDO2/WebAuthn認証の導入、条件付きアクセスポリシーの適用、準拠デバイス要件の設定、そして侵害されたセッショントークン・リフレッシュトークンの失効を推奨しています。®
