新たなCoPhish攻撃がCopilot Studioエージェントを介してOAuthトークンを盗む

「CoPhish」と名付けられた新しいフィッシング手法は、Microsoft Copilot Studioエージェントを悪用し、正規で信頼されたMicrosoftドメインを通じて不正なOAuth同意リクエストを配信します。

この手法はDatadog Security Labsの研究者によって開発され、今週初めのレポートで、Copilot Studioの柔軟性が新たな未公開のフィッシングリスクをもたらすと警告しています。

CoPhishはソーシャルエンジニアリングに依存していますが、MicrosoftはBleepingComputerに対し、今後のアップデートで根本的な原因を修正する予定であると認めています。

「この報告を調査し、今後の製品アップデートを通じて対応する予定です」とMicrosoftの広報担当者はBleepingComputerに語りました。

「この手法はソーシャルエンジニアリングに依存していますが、当社はガバナンスや同意体験の強化に引き続き取り組んでおり、組織が悪用を防ぐための追加的なセーフガードも検討しています。」

CopilotエージェントとOAuthフィッシング

Copilot Studioエージェントはcopilotstudio.microsoft.com上でホストされているチャットボットで、ユーザーは「トピック」と呼ばれる特定タスクを自動化するワークフローを通じて作成・カスタマイズできます。

エージェントは「デモウェブサイト」機能を有効にすることでMicrosoftのドメイン上で共有できます。URLが正規のものであるため、ユーザーが騙されてログインしてしまうリスクが高まります。

チャットボットとの会話開始時にユーザーを認証する「ログイントピック」は、認証コードのリクエストや他の場所・サービスへのリダイレクトなど、特定のアクションを設定できます。

DatadogのシニアセキュリティリサーチャーであるKatie Knowles氏によると、攻撃者はログインボタンを「ターゲット環境の内部または外部」の悪意あるアプリケーションでカスタマイズでき、環境へのアクセス権がなくてもアプリ管理者を標的にすることが可能です。

現在、テナント内の権限のないユーザーを標的にすることも、攻撃者がすでに環境内に存在していれば可能です。しかし、Microsoftのデフォルトポリシーが変更されると、攻撃はOneNoteの読み書き権限のみに制限され、メール、チャット、カレンダーサービスへの攻撃は困難になります。

Knowles氏は、Microsoftのアップデート後も「外部登録アプリケーションを使ってアプリケーション管理者を標的にする」ことは可能だと述べています。なぜなら、この変更は高権限ロールには適用されないためです。

テナント内の管理者権限を持つユーザーは、内部・外部アプリケーションが要求する権限を、たとえ検証されていなくても（例：Microsoftや自組織によって公開されていないとマークされていても）承認できます。

Datadogの研究者によると、CoPhish攻撃は、攻撃者がサインイントピックを認証プロバイダーへのリダイレクトとセッショントークンの収集に設定した悪意あるマルチテナントアプリを作成することから始まります。

Burp CollaboratorのURLにHTTPリクエストを設定し、「token」ヘッダーでアクセストークン変数を送信することでセッショントークンを取得できます。

「アプリケーションID（またはクライアントID）、シークレット、認証プロバイダーのURLは、エージェントのサインイン設定を構成するために使われます」とKnowles氏は今週のレポートで述べています。

被害者ユーザーがログインボタンをクリックした際のリダイレクトアクションは、任意の悪意あるURLに設定可能であり、アプリケーション同意ワークフローのURLは攻撃者にとって一例に過ぎません。

管理者を狙うCoPhish攻撃

悪意あるエージェントのデモウェブサイトを有効化した後、攻撃者はこれをメールフィッシングキャンペーンやTeamsメッセージでターゲットに配布できます。

URLが正規でページのデザインもMicrosoft Copilotサービスのように見えるため、ユーザーは単なる別のCopilotサービスだと思い込むかもしれません。Knowles氏によれば、唯一疑いを持つ手がかりは「Microsoft Power Platform」アイコンですが、見逃しやすいとのことです。

管理者が騙されて悪意あるアプリの権限を許可すると、OAuthリダイレクトURL[token.botframework.com]に移動し、ボット接続を検証します。

「これは一見異常に思えるかもしれませんが、有効なドメインを使ったCopilot Studioの認証プロセスの標準的な一部です」とDatadogの研究者は述べています。

認証プロセス完了後、ユーザーにはセッショントークンがBurp Collaboratorに転送されセッションが乗っ取られたことは通知されませんが、エージェントとチャットすることは可能です。

さらに、トークンはCopilotからMicrosoftのIPアドレスを使って送信されるため、攻撃者への接続はユーザーのウェブトラフィックには表示されません。

以下は、CoPhish攻撃の仕組みと、被害者ユーザーが悪意あるアプリにアクセスしてから攻撃者がトークンを受け取るまでの手順を示した図です。

MicrosoftはBleepingComputerに対し、管理者権限の制限、アプリケーション権限の削減、ガバナンスポリシーの徹底によってCoPhish攻撃から顧客を守れると述べています。

Datadogは、Microsoftのデフォルトのベースライン構成のギャップをカバーする強力なアプリケーション同意ポリシーの実装を含む、セキュリティ上の考慮事項を提示しています。

また、クラウド監視・セキュリティ企業である同社は、組織に対しユーザーによるアプリケーション作成のデフォルトを無効にし、Entra IDおよびCopilot Studioエージェント作成イベントを通じてアプリケーション同意を厳密に監視することを推奨しています。