パスキーは本来、フィッシングを根絶する究極の対策として考案されたものでした。ところが脅威アクターたちは、この技術に思いもよらぬ「裏の使い道」を見出しています。現在、攻撃者はITサポートを装って従業員に電話をかけるだけで攻撃を開始できます。パスキーや多要素認証(MFA)の設定が急務であるとでっち上げ、被害者を巧みに複雑な手順へと誘導するのです。その結果、攻撃者は企業のMicrosoftアカウントを完全に掌握することに成功します。
巧妙なソーシャルエンジニアリングの手口
この悪質なシナリオは、たいてい従業員個人のデバイスへの電話やテキストメッセージから始まります。偽の技術サポート担当者は、アクセス制限が間もなく発生すると不穏な警告を発し、パスキーやMFA、シングルサインオン(SSO)の設定を直ちに更新するよう迫ります。続いて被害者は、正規のMicrosoftログインポータルとほとんど見分けがつかない偽サイトへのリンクを受け取ります。犯罪者は事前に組織構造を入念に調査したうえで、会社名を巧みに組み込んだURLを作成し、親近感を演出します。
AiTMとデバイスコード認証の悪用
建前上のパスキー設定は、実際には非常に説得力のある口実にすぎないことが多いのです。被害者は、Adversary-in-the-Middle(AiTM)フィッシングや、操作的なデバイスコード認証の手続きへと巧みに誘導されます。前者の場合、犯罪者は認証情報とセッショントークンを不正に傍受します。後者の場合、従業員は提示されたコードを正規のMicrosoftポータルに何も疑わず入力してしまい、結果として攻撃者側のクライアントに明示的なアクセス権を与えてしまいます。この致命的な確認操作の後は、通常のMFAでは、奪われたセッションの悪用を防ぐことができなくなります。
永続化の確立と自動化された偵察活動
侵害したアカウントに足場を築いた攻撃者は、一時的なアクセス権を持続的な足がかりへと執拗に変えようとします。彼らは自分たちの電話番号や認証アプリ、ソフトウェアOTPトークンを、被害者のプロファイルに素早く追加します。この新たに設定された認証要素により、犯罪者はアカウント所有者を介さずとも、その後のセキュリティチェックをすべて回避できるようになります。管理者がアクティブなセッションを強制的に無効化し、不正な認証方法を排除するまで、彼らはこの制約のないアクセス権を維持し続けます。
続く段階では、Microsoft Graph APIを利用した攻撃的かつ自動化された偵察活動が展開されます。侵入者はユーザー、グループ、ロール、権限、アクセス可能なエンタープライズアプリケーションを体系的に列挙し、既存の認証方式を精査します。最終的には、SharePoint、OneDrive、Exchangeといった実入りの良いターゲットへと矛先を向けます。Microsoftは、ファイルやメールボックス、機密性の高い添付ファイルが大規模かつプログラム的に窃取されている実態を文書化しています。さらに、攻撃の各段階でそれぞれ異なるIPアドレスやプロキシが使用されることが多く、攻撃チェーン全体を再構築する作業を著しく困難にしています。
Microsoftの脅威分析から見えてくること
多くの事例では、侵害発生から数分のうちに、アプリケーションディレクトリやユーザープロファイル、重要なアカウント管理インターフェースへの即座のアクセスが可能になっていました。その後の行動は、企業文書や重要なやり取りを速やかに標的にしていました。従業員が運悪くMicrosoft Defender for Endpointの入っていない個人のスマートフォンでフィッシングリンクを開いてしまった場合、セキュリティチームは初期の侵入経路に関するテレメトリをほとんど、あるいはまったく得られない可能性があります。時には、従業員が「不審な電話やSMSがあった」と証言することだけが唯一の手がかりになることもあります。
Microsoftは、少なくとも2026年5月以降、この組織的なキャンペーンを継続的に監視しています。同社はこれらの高度な攻撃活動を、Storm-3121やStorm-3032を含む複数の異なる脅威アクターグループに明確に結び付けています。前者はShinyHuntersやFalconランサムウェアの活動を助ける初期アクセスの獲得を専門としています。一方Storm-3032は、現在Helixという名称で活動する元BlackFileの関係者から構成されています。
重要な防御戦略と緩和策
強固な防御態勢を築くため、Microsoftは孤立した不審なIPアドレスの追跡だけでなく、行動パターンの連なりを監視するよう組織に助言しています。セキュリティチームは、異常なログインの直後に発生する新規MFA方式の登録、Graph APIを使った積極的な偵察活動、不規則なファイルやメールの操作といった動きを能動的に探すべきです。同社はさらに、条件付きアクセスポリシーによって新しい認証ツールの登録を厳しく制限することを推奨しています。組織は管理対象デバイスの使用を義務付け、完全に不要な場合はデバイスコード認証を無効化し、FIDO2やパスキー、Windows Hello for Businessといったフィッシング耐性のある方式を全面的に強制すべきです。
BlackFileのシンジケートは、以前から非常によく似た手口を用いてきました。オペレーターはITサポートを装って従業員に組織的に電話をかけ、パスキーへの移行やMFAの更新を要求していました。アカウントの乗っ取りに成功した後は自分たちのデバイスを登録し、Microsoft 365やSalesforce、Zendeskからデータを容赦なく略奪していました。もう一つの恐ろしい攻撃パターンは、OAuth 2.0のデバイスコードフローを軸に構築されたEvilTokensというサービスを通じて登場しました。ユーザーは正規のMicrosoftページにコードを入力しますが、実際には悪意あるセッションを承認してしまっています。犯罪者はその後、強力なアクセストークンを取得し、パスワードを再入力させることなく企業アカウントを自在に操作できるようになります。
パスキーそのものでさえ、この問題を完全に根絶することはできません。8月には、セキュリティ専門家がWindowsエコシステム内でのパスキー同期の特異な挙動を悪用する「Pass-ta-key」と呼ばれる手法を実証しました。これらの攻撃から導き出される全体的な結論は、ただ一つの厳しい事実に尽きます。攻撃者が従業員を説得して悪意あるセッションを正当化させたり、不正な認証要素を登録させたりすることに成功してしまえば、暗号学的に堅牢なログイン機構であっても、最終的にアカウントを守ることはできないのです。
翻訳元: https://meterpreter.org/passkey-phishing-attacks/
