- Microsoftが警告、偽のIT担当者からの電話でパスキー更新を促す巧妙なキャンペーンが進行中
- 被害者はMicrosoftのログイン画面を模倣したアドバーサリー・イン・ザ・ミドル（中間者攻撃）サイトへ誘導され、アクセス権を窃取される
- 攻撃者はSharePoint、OneDrive、Exchangeからファイルを窃取、フィッシング耐性のあるMFAの導入が推奨される
パスキーの普及により、パスワードを盗む手口はもはや通用しなくなりました。この変化に対抗するため、ハッカーたちは攻撃者が管理するコンピューター上でユーザーに認証を行わせるという新たな手口を使い始めています。Microsoftが発表した最新のレポートによると、現在極めて巧妙なキャンペーンが進行しており、その目的は人々のクラウドアカウントを侵害し、できる限り多くの機密ファイルを窃取することにあるといいます。
この攻撃は、被害者が実際に体験する段階よりもずっと前から始まっています。攻撃者は事前に入念な計画と下調べを行い、標的に関する情報をできる限り多く収集します。標的の勤務先、役職、そして個人の電話番号を把握することが、攻撃の要となります。
すべての準備が整うと、攻撃は電話から始まります。被害者は自分が所属組織のITヘルプデスクと話していると思い込まされ、業務に支障が出ないよう、直ちにパスキー（設定によってはMFA）を更新する必要があると告げられます。
続くSMS
電話の後、被害者にはセキュリティ設定を更新できるリンクが記載されたSMSメッセージが送られてきます。一見すると、そのウェブサイトは正規のMicrosoftログインページのように見えます。しかし実際には、これはあらかじめ用意された悪意あるサイトであり、アドバーサリー・イン・ザ・ミドル（AitM）と呼ばれる手法を用いて、攻撃者が被害者に代わってアクセス権を取得するか、あるいは認証情報を窃取します。
「攻撃者は事前調査に多大な労力を注いでいるとみられ、ソーシャルネットワークや職業プロファイリングプラットフォームといった公開情報源から、従業員や組織構造に関する情報を収集していると考えられます」とMicrosoftは述べています。「一部のケースでは、攻撃者はすでに侵害済みのアカウントを悪用し、攻撃範囲を拡大しています」。これは、Microsoft Teams経由で同様のパスキーをテーマにしたメッセージを送信することで行われます。
Microsoftによると、このキャンペーンは少なくとも今年5月から続いているとみられますが、被害件数の詳細は明らかにされていません。その狙いは、SharePointやOneDriveからファイルを窃取すること、そしてMicrosoft Exchange Onlineのメールデータを窃取することにあるようです。Microsoftはこのキャンペーンを特定の脅威アクターに帰属させてはいませんが、Cordial SpiderやStorm-3121など、同様または類似のキャンペーンに関与している集団は数多く存在すると述べています。
