フィッシング キャンペーンに悪用されるMeta ビジネス アラート

ハッカーは正規のMeta Business Managerの通知を悪用して、フィッシング メールをセキュリティ フィルターを通り抜けてユーザーの受信トレイに送り込んでいます。

信頼できるMeta インフラストラクチャを悪用することで、攻撃者は自分たちのメッセージを本物に見せかけながら、被害者を認証情報を盗むページへ静かに誘導しています。

Metaシステムがこれらの招待を生成するため、メールはfacebookmail.comなどの実際のMetaドメインから送信され、SPFやDKIMなどの標準チェックに合格します。

通常のビジネス名を使用する代わりに、脅威行為者はアカウント名またはページ名を操作して、「アカウント制限」、「広告違反」、または「ページは無効になります」などの脅迫的なテキストを含めます。

レポートによると、攻撃者はまずFacebook ビジネス アカウントを作成するか侵害し、その後Meta Business Managerを通じて正規のパートナーまたはアセット共有リクエストを送信します。

この誘導テキストは通知に目立つように表示され、受信者にFacebookアセットに対する緊急のポリシーまたはセキュリティ問題があり、すぐに対応が必要だと信じさせます。

被害者が埋め込みリンクをクリックすると、Google Formsやその他の正規プラットフォームなどの信頼できるクラウドまたはフォーム ホスティング サービスを通じてリダイレクトされた後、フィッシング サイトにたどり着きます。

このリダイレクション チェーンにより、メールはURL評判チェックを回避でき、攻撃者はキャンペーンに最小限の変更でフィッシング ドメインを入れ替えることができます。

偽のFacebook ヘルプ ページ

最終的な宛先は、Metaのサポート インターフェースに密接に模倣した詐称されたFacebook ヘルプまたはプライバシー センター ページです。ここで被害者は、機密情報を入力してアカウントを「確認」したり、申し立てられた制限に異議を唱えたり、広告アクセスを復元したりするよう促されます。

フィールドは通常、Facebookログイン認証情報、ビジネス ページの詳細、連絡先メール、電話番号、および広告アカウントに関連する支払い情報をリクエストします。

より高度なバリエーションは、2要素認証（2FA）コードも盗んだり、ユーザーをだまして、アカウントを完全に乗っ取るために必要なワンタイム パスコードを明かすよう指示したりします。

LevelBlueのSpiderLabs チームによると、MailMarshal メール セキュリティは、このテクニックを使用したキャンペーンを検出しました。このキャンペーンは、ユーザー データ、ページ情報、パスワード、および2FAトークンを収集するために特別に作成された偽のFacebook ヘルプ ランディング ページにユーザーを誘導しました。

攻撃者がBusiness Managerまたはリンクされた広告アカウントを制御すると、不正な広告キャンペーンを実行したり、マルウェア サイトへのトラフィックをリダイレクトしたり、他の接続されたビジネス システムにピボットしたりできます。

このアタックは、社会工学的手法をセキュリティ ツールとユーザーが本質的に信頼しているインフラストラクチャと融合させているため、特に危険です。

メールは正規のMeta システムから来ており、リンクは多くの場合、評判の良いサービスを通過し、最終ページはFacebookのデザインを十分に模倣して、経験豊富なユーザーでさえ騙すことができます。

送信者の評判、ドメイン ベースの認証、またはシンプルなURLブロックリストに依存する従来のメール セキュリティは、これらのメッセージにフラグを付けられない可能性があります。

その結果、検出は、行動分析、メール本文の言語とレイアウトの異常、および疑わしいリダイレクションと新しく登録されたフィッシング ドメインの継続的な監視にますます依存しています。

セキュリティ エキスパートは、送信者がMetaのように見えても、メール リンクからBusiness Manager リクエストを承認したり、アカウント問題を解決したりしないことをお勧めします。

MailMarshalのような最新のメール セキュリティ ソリューションをデプロイすることで、送信者ドメインだけでなくコンテンツ、リダイレクト、および動作を分析し、これらのフィッシング キャンペーンがエンド ユーザーに到達するリスクを大幅に軽減できます。

代わりに、ユーザーはブックマークされたURLまたは公式アプリを通じてFacebookまたはMeta Business Managerにログインし、そこから通知とリクエストを確認する必要があります。

組織は多要素認証を有効にし、Business Manager アセットを管理できるユーザーを制限し、パートナー リクエスト詐欺と緊急性に基づく誘導についてスタッフを教育する必要があります。