Entraのパスキー登録を装ったフィッシング攻撃が、Microsoft 365ユーザーを標的としている

ある脅威アクターが、Microsoft 365 ユーザーに対し、新しい Entra パスキーの登録を求める音声による偽のセキュリティ要求を行い、複数の業界にわたる組織を標的にしています。

攻撃者は、マイクロソフトが5月に管理者に提供を開始した新機能を利用しています。この機能により、管理者は「パスキー登録キャンペーン」を実施し、より安全な認証のためにユーザーにパスキーの登録を促すことが可能になります。

このキャンペーンは4月から実施されており、標的となったユーザーに電話をかけ、攻撃者が管理する新しいパスキーを登録するよう説得しようとするものです。

この詐欺を隠蔽するため、ハッカーは被害者を、正規のMicrosoftパスキー登録プロセスを模倣したフィッシングキットへと誘導している。

クラウドベースのIDおよびアクセス管理（IAM）企業であるOktaは、この活動を「O-UNC-066」として追跡している攻撃者の仕業であると指摘しています。この攻撃者は、「Pink」として知られる恐喝活動を展開しています。

Oktaによると、O-UNC-066は、食品・飲料、テクノロジー、医療、自動車、建設、航空業界の組織に所属するユーザーを標的にしているという。

このキャンペーンでは、標的となった従業員に対し、「セキュリティ上の理由から新しいMicrosoft Entraパスキーを登録する必要がある」という口実で電話連絡が行われ、ドメイン名に「passkey」という単語を含むフィッシングURLへ誘導されます。

これらの悪意のあるウェブサイトには、被害組織のブランドが使用されており、本物のEntraパスキー登録ポータルを模倣している。

より一般的な「Adversary-in-the-Middle（AiTM）」プロキシとは異なり、このキットはオペレーターが制御する PHP パネルであり、攻撃者は被害者をフィッシングプロセスを通じてリアルタイムで誘導し、使用されている多要素認証（MFA）方式に基づいてフローを適応させます。

「[このフィッシングキット]は、オペレーターが制御するPHPパネルであり、脅威アクターは1秒ごとのハートビートポーリングメカニズムを使用して、ほぼリアルタイムで被害者を認証のさまざまな段階へと誘導します」とOktaは説明しています。

「オペレーターはこのキットを使用して、セッション中に各被害者のMFA要件（TOTP、番号照合付きプッシュ通知、SMS OTP）に合わせてユーザー体験を調整できる。」

被害者がキットの画面に入力した認証情報やMFAの応答はオペレーターに中継され、オペレーターはそれらを使用して被害者のMicrosoftアカウントへの認証を行います。

被害者は自分のアカウントに新しいパスキーを登録していると思い込んでいますが、実際には攻撃者が制御するパスキーが登録されています。

アクセス権を取得した後、フィッシングサイトは被害者に偽のMicrosoftブランドを装ったパスキー登録ページを表示し、偽のBIP-39リカバリーフレーズを保存し、その中から1つの単語を確認するよう促します。

Oktaは、BIP-39のシードフレーズは正規のMicrosoft Entraパスキー登録において何の役割も果たさないものの、そのプロセスに不慣れなユーザーにとっては注意をそらす手段となり得ると指摘している。

Palo Alto NetworksのUnit 42によると、「Pink」は「The Com」（The Communityの略）として知られる分散型脅威ネットワークに所属する新たな恐喝ブランドである。

この脅威アクターは、ヴィッシング（音声フィッシング）やIT担当者へのなりすましを利用して、認証情報や多要素認証（MFA）コードを収集することで知られており、これらは企業データを盗む攻撃に利用される。

「Pink」脅威グループは5月31日に身代金要求サイトを立ち上げ、盗んだデータのサンプルを公開することで、被害者に身代金の支払いを強要している。

研究者によると、Pinkは被害者のアカウントへのアクセス権を取得した後、SharePointやOneDriveサービスからデータを迅速に持ち出すという。

Palo Alto Networks Unit 42のプリンシパル・スレット・リサーチャーであるブラッド・ダンカン氏は、6月上旬に、Pinkが使用するフィッシングドメインの一部に「passkey」という単語が含まれていることを指摘した。

Oktaは、組織に対し、ヘルプデスク担当者がユーザーに連絡する際の本人確認方法を強化するとともに、自社がサービスを提供していない地域からのリクエストを拒否するよう推奨している。

出典：https://www.bleepingcomputer.com/news/security/entra-passkey-enrollment-vishing-targets-microsoft-365-users/

Comments