FBIがOAuth同意フィッシング活動について警告

米連邦捜査局(FBI)は、OAuth同意フィッシングと呼ばれる巧妙な手口を用いた進行中のフィッシング活動について警告を発しました。FBIによると、2025年後半以降、悪意のあるサイバー攻撃者が著名人やその家族、知人を標的にOAuth同意フィッシングを用い、アカウントへの持続的なアクセス権を得る攻撃を行っているとのことです。

この手口は、他の標的型フィッシングと同様に信頼できる組織になりすまして被害者を騙し、アカウントへのアクセスを許可させるものですが、被害者にユーザー名やパスワードを開示させる必要がない点が特徴です。この手法は、あるアプリケーションが別のアプリケーション上のユーザーアカウントへのアクセスを、ログイン認証情報を明かすことなく要求できるようにする、広く使われている認可フレームワーク「OAuth」を悪用しています。

OAuth同意フィッシングでは、攻撃者はまず悪意のあるアプリケーションを作成し、正規のOAuthプロバイダーに登録します。このアプリケーションには、連絡先へのアクセス、メールの読み書き、ユーザーに代わってメールを送信する権限など、高いレベルの権限が設定されます。その後、攻撃者はメールやテキストメッセージで標的の人物に接触し、同意プロセスを開始させるよう仕向けます。

この攻撃キャンペーンでは、攻撃者は商用メッセージングアプリケーション(CMA)を通じて、著名人や政府高官、ジャーナリストなど公に知られた人物になりすますケースが典型的です。例えば、標的となった人物はあるイベントへの参加を招待され、まずは一見正規に見える悪意のあるアプリケーションを使って本人確認を行うよう求められます。

被害者が応答すると、Microsoft 365やGoogle、あるいは他の正規クラウドサービスのものに見える、正規の権限リクエスト画面が表示されます。被害者が「許可」をクリックしてリクエストを承認すると、正規クラウドサービスに対して同意を与えたことになり、プロバイダーの認可メカニズムを通じて、悪意のあるアプリケーションに申告された権限が付与されてしまいます。これにより攻撃者は、ユーザーのパスワードを入手することなく様々な悪意ある行為を実行し、機密データにアクセスできるようになります。しかもこの手法は多要素認証による制御を回避してしまいます。

実際には、多くのユーザーは自分がフィッシングに遭ったことに気づかず、何の対策も取りません。仮に被害者が異変に気づいてアクセス権限を付与した後にパスワードを変更したとしても、OAuth認証トークンはパスワード変更後も有効なままとなり、攻撃者には引き続き以前付与された権限が使える状態が続きます。この権限を無効化するには、被害者自身がセキュリティ設定から悪意のあるアプリを削除する必要があります。

FBIは、こうした形態のフィッシングに警戒するとともに、連絡先リストに登録されていない未知の電話番号やアカウント、送信者からの連絡にも注意するようユーザーに呼びかけています。突然届いた連絡に対応する前に、まず送信者の身元を確認し、信頼できるアプリケーションにのみ認可を与えるべきです。また、信頼しているアプリケーションであっても、要求されている権限の内容は慎重に確認する必要があります。