Microsoft 365の管理者ポータルが悪用され、セクストーションメールが送信される

Microsoft 365 の管理者ポータルが悪用され、セクストーションメールの送信に利用されています。このセクストーションメールは、信頼できるように見せかけ、メールセキュリティプラットフォームを回避しています。

セクストーションメールとは、あなたのパソコンや携帯端末がハッキングされ、あなたが性行為をしている画像や動画が盗まれたと主張する詐欺です。そして詐欺師は、あなたの家族や友人と危険な写真を共有しないよう、500ドルから5000ドルの支払いを要求します。

このような詐欺に引っかかる人はいないと思うだろうが、2018年に初めて登場したときは非常に収益性が高く、1週間に5万ドル以上を売り上げていた。今日に至るまで、この詐欺を受け取った後、心配する人々からメッセージが届き続けている。

それ以来、詐欺師たちは、配偶者の浮気がバレたふりをしたり、自宅の写真を添付して恐喝者にビットコインで支払わせるものなど、数多くの恐喝メール詐欺の亜種を作り出してきた。

しかし、メールセキュリティプラットフォームはこのような詐欺メールを検知する能力に長けており、通常は迷惑メールフォルダに隔離されます。

Microsoft 365管理ポータルを悪用した詐欺

この1週間、LinkedIn、X、Microsoft Answersのフォーラムで、Microsoft 365のメッセージセンターを通じて恐喝メールを受け取ったという報告があった。

“昨日、恐喝詐欺メールを受け取りました。通常、このようなメールは迷惑メールに振り分けられてしまいますが、このメールはMicrosoft 365 Message Centerから送信されたため、フィルターを通過することができました。

「サイバーセキュリティの専門家、エドウィン・クワンはこう尋ねた。

セクストーションメールは「o365mc@microsoft.com」から送られてきた。フィッシングアドレスのように感じるかもしれないが、実際にはMicrosoft365メッセージセンターからメッセージや通知を送信するために使用されるMicrosoftの正規メールアドレスである。

Microsoft 365管理者ポータルについてよく知らない人のために説明しておくと、管理者ポータルには「メッセージセンター」と呼ばれるセクションがあり、サービス勧告、新機能、今後の変更に関するマイクロソフトからの連絡が掲載されている。

アドバイザリを閲覧する際には、以下のように「共有」リンクからアドバイザリを他の人と共有することができます。

共有] ボタンをクリックすると、アドバイザリを送信する電子メールアドレスを 2 つまで入力するよう求めるダイアログが表示されます。

この画面には、電子メールで送信されるアドバイザリーに追加される「個人的なメッセージ」もオプションで表示される。

脅威者は個人メッセージ機能を悪用して、セクストーションメッセージを送信しています。しかし、このパーソナルメッセージフィールドは1,000文字までに制限されており、それ以上の文字数はユーザーインターフェースによって切り捨てられます。

詐欺師が送信した恐喝メッセージは1,000文字をはるかに超えているため、どうやってこの制限を回避しているのか不思議に思った。

答えは簡単だ。彼らはブラウザの開発ツールを開き、<textarea>タグの最大長フィールドを好きな任意の数字に変更するだけなのだ。

この変更により、彼らは切り捨てられることなく、セクストーションメッセージ全体を「パーソナルメッセージ」フィールドに入力できるようになります。

マイクロソフトはサーバー側で文字数のチェックを行わないため、恐喝メッセージ全体が勧告と一緒に送信されるようになりました。

詐欺師は、おそらく自動化されたプロセスを使用してこのような「共有」リクエストを送信しており、個人メッセージの長さをサーバー側でチェックすることなく、さらに簡単に送信できるようになっています。

これらの詐欺についてマイクロソフトに問い合わせたところ、悪質な行為について調査中であるとのことだった。

「この件につきましてご報告いただきありがとうございます。我々はセキュリティとプライバシーを非常に真剣に受け止めています。

“我々はこれらの報告を調査しており、我々の顧客を保護するための措置を講じる予定です。”

現時点では、マイクロソフトは1000文字以上のメッセージを防ぐためのサーバー側のチェックを追加していないことが、’sのテストで明らかになった。

このテクニックのおかげでセクストーションメールはメールフィルターを迂回できるようになったが、メールを受け取った人は、それが単なる詐欺であることを理解し、削除しなければならない。

ありがたいことに、セクストーション詐欺はこの6年間で非常に多くなったため、ほとんどの人が詐欺であることを理解し、この種のメールを削除している。

しかし、馴染みのない人にとっては、こうしたメールは苦痛であり、怖いものです。

したがって、これらのメールは詐欺であり、真実を伝えているわけではないこと、そしてこれらのメールに記載されているリンクにアクセスしたり、記載されている暗号通貨のアドレスに送金したりしてはならないことを強調しておくことが重要である。