初期アクセスブローカー(IAB)は、従業員個人のデバイスに電話やテキストメッセージでフィッシングを仕掛け、その後Microsoft Graph APIを悪用して大規模な企業データの窃取を行っています。
一般的な企業環境において、従業員が個人デバイスを業務リソースへのアクセスに利用することは、ほぼ避けられない実情があります。BYODを完全に禁止しているのは、政府機関や研究機関など、最も慎重な運用を行う一部の高価値組織に限られます。セキュリティ意識の高い組織の多くも、機密性の高いリソースへのアクセスに個人デバイスを使わせない範囲であれば許容しているのが実態です。しかし、こうした比較的妥当なポリシーでさえ、一見リスクの低い攻撃経路を最大限に活用する術を心得た攻撃者によって試されつつあります。
Microsoftの研究者は5月以降、少なくとも2つの脅威アクター——同社の命名法でStorm 3032とStorm-3121——が個人デバイスを悪用し、企業の認証セキュリティ対策を完全に迂回している実態を追跡しています。さらに厄介なことに、この2つのStormグループは獲得したアクセス権を、悪名高いShinyHuntersを含む恐喝グループに引き渡している可能性が高いとみられています(ただし、Microsoftはこれらの初期アクセスキャンペーンと既知の企業侵害事案との関連は確認していません)。
個人デバイスを悪用するIAB
攻撃者が企業システムへのアクセスを狙う場合、直感的には企業アカウントやそれに接続されたデバイスを標的にすると考えられます。しかしその場合、メールセキュリティゲートウェイやエンドポイント検知・対応(EDR)など、その企業が備えるあらゆるセキュリティ対策に対抗しなければなりません。
そう考えると、従業員個人のデバイスを狙う方がはるかに容易だと言えます。特にスマートフォンはセキュリティ上の障壁がほとんど、あるいはまったく存在しません。オフィスで働いた経験がある人なら誰でも知っているように、人々は職場でもその周辺でも常に自分のスマートフォンを使っています。
近年、脅威アクターは従業員本人のデバイスに電話やテキストメッセージを送り、勤務先のITヘルプデスクになりすます手口を用いています。電話の口実としては、パスキー、多要素認証(MFA)、シングルサインオン(SSO)設定など、業務アカウントへの認証手段を更新しなければ仕事へのアクセスを失ってしまう、というものです。従業員はスマートフォンに送られてきたリンクを通じてアカウントにログインし、「問題を解決」できるとされています。
従業員がこの重要な業務連絡がこのような経路で届くはずがないと鋭く見抜けなければ、フィッシングリンクをたどって、いかにも本物らしいMicrosoftのサインインページに誘導されてしまう可能性が高いでしょう。この段階で攻撃者は、認証情報とセッショントークンを盗む中間者攻撃(AiTM)手法と、デバイスコードフィッシングのフローの両方を使い分けています。
このフィッシングフローの具体的な手口の詳細以上に重要なのは、その大部分が実際の企業システム上ではまったく行われていないという事実です。Microsoftはブログ記事で次のように振り返っています。「多くの調査事案において、従業員が電話やテキストメッセージを受け取ったという記憶こそが、侵害がどのように始まったかを説明する最初の、そして時には唯一の証拠となります。そのため調査担当者は、こうした報告と、その後のサインイン、デバイスコード認証イベント、トークンの活動、認証方式の変更とを結びつけながら、攻撃の全体像を再構築せざるを得ないことがよくあります」
脅威アクターはフィッシング攻撃を、被害者の勤務先名と関連セキュリティ用語を組み合わせた「company[.]add-passkey[.]com」といった悪意のあるドメインなど、細部にわたる工夫で仕上げています。また少数のケースでは、リアリティを高めるため、あるいはより権限の高い従業員に到達するためか、攻撃者はすでに侵害した従業員アカウントを使って別の従業員をフィッシングすることもあります。そうして被害者従業員のIDに対する制御を掌握した後は、自ら登録したMFAデバイスを通じて持続的なアクセスを確立します。
企業内の情報を洗い出すGraph API攻撃
恐喝目的の攻撃において、おそらく最も重要な段階は、価値のある情報がどこにあり、どうすればそこに到達できるかを特定することです。攻撃者は企業のセキュリティ対策を回避し続けるため、ネットワーク内でマルウェアやその他の不審なツールを使用することを避けてきました。その代わりに利用しているのが、Microsoftのクラウドサービス全体への共通の入り口であるMicrosoft Graph APIへのクエリです。Graph APIを使えば、権限を持つユーザーはユーザー一覧、リソース、コンテンツ、権限など、攻撃者が環境の全体像を把握するのに役立つ情報を洗い出すことができます。
Microsoftはブログ記事で、Graph APIが強力な偵察活動を行う上であまりに無害に見えてしまうツールだと指摘しています。「Graph APIの悪用は、単一のAPI呼び出しだけを見ても不審に見えることはほとんどありません。/users、/groups、/sitesといったエンドポイントへのリクエストは、企業環境ではごくありふれたものです」と研究者らは記しています。単一のIDやアプリケーションが不審な回数の呼び出しを行い、かつ組織側にそれを識別しフラグを立てる能力がある場合に限って、初めてその活動が実用的なセキュリティインテリジェンスとして扱えるレベルに達する可能性があるとしています。
容易な侵入経路と環境の見取り図を手にした攻撃者は、続いて機密性の高い企業データの窃取に進みます。Microsoftは特に、SharePoint、OneDrive、Exchangeに関連するデータが盗まれている事例を確認しています。ここでも脅威アクターは、大規模で目立つデータ転送を避け、長期間にわたって少量のファイルを断続的にダウンロードすることで、低い姿勢を保つ傾向がみられます。
ID関連ポリシーへのセキュリティ制限強化を
Storm 3032、Storm-3121、およびこれに類する攻撃グループに対抗するため、Microsoftは組織に対し、不審なアプリケーションによるデータ窃取イベントやGraph APIの一括呼び出しをより積極的に記録・検知すること、そして全般的にユーザーのGraph権限を厳格に制限することを提案しています。個人デバイスに起因するリスクについては、研究者らはより厳格な認証・認可対策を推奨しています。具体的には、すべてのサインインでフィッシング耐性のあるMFAを必須にすること、不要な場面ではデバイスコード認証フローをブロックすること、アプリケーションへのアクセスを管理対象デバイスに限定することなどです。
Black Duckの脅威インテリジェンスセキュリティ担当シニアマネージャーであるRobert Coles氏もこの見解に同調しています。「組織にとっては、私物端末の業務利用(BYOD)を撤廃しようとするよりも、ID管理と認証の管理体制を強化する方がはるかに大きな効果が得られます。個人デバイスの利用を制限すればリスクはある程度減らせるかもしれませんが、それはほとんどの組織にとって現実的ではありませんし、今回説明したようなソーシャルエンジニアリングを防げたわけでもありません」と同氏は述べています。
「攻撃者はデバイス自体を侵害したのではなく、ユーザーを信用させることに成功しただけです」と同氏は指摘し、組織は従業員が誤った判断をしてしまった場合の被害を最小限に抑えることに注力すべきだと述べています。「目指すべきは、たとえアカウントが侵害されても、攻撃者にとってその価値をできる限り小さくすることです」
