Infobloxの脅威調査で判明 世界の機関を標的にした、調達を装うメールによる新型フィッシングキャンペーン
先制的サイバーセキュリティおよびクリティカルネットワークサービスの主要プラットフォームを提供するInfoblox（本社：米国カリフォルニア州サンタクララ、以下Infoblox）の脅威インテリジェンスチームInfoblox Threat Intelは、欧州連合（EU）や国際連合（国連）の関連機関を含む、大学・企業・多国籍機関を標的とする巧妙なAiTM（adversary-in-the-middle：中間者）型フィッシングキャンペーンを明らかにしました。
この攻撃で注目すべき点は、実際に侵害された組織のアカウントから送られる、調達（購買）関連を装ったメールが送信されることです。送信元が実在するアカウントであるため、メッセージの信頼性は非常に高く見えます。受信者がリンクをクリックすると、このAiTMインフラは認証情報および多要素認証（MFA）済みのセッショントークンをリアルタイムで窃取し、組織がアカウント保護のために講じている多くの対策を無効化します。
受信者にとって、この攻撃は入札案内や共有プロジェクトファイル、情報提供依頼など、日々の業務でよく目にするやり取りと変わらない外見を持ちます。偽の締め切りや守秘義務を装う文言で緊急性を演出しつつ、見慣れた画面を表示することで、受信者は通常の業務と同様に文書を開き、ログインします。攻撃者はこうした日常的な業務プロセスを模倣することで、組織のアカウントおよびネットワークへのアクセスを獲得します。
この攻撃者は、EvilProxy、FlowerStorm、Kali365といった複数のフィッシング・アズ・ア・サービス（PhaaS）キットを使い分けているとみられます。また、侵害を受けた休眠状態のWebサイトを悪用し、ほぼ同一の偽ダウンロードページを公開する手法をとっています。こうしたサイトは新規に作成された悪質ドメインよりも信頼性が高く見える一方、挙動パターンやサブドメインの命名規則、インフラの再利用といった特徴から、防御側がキャンペーンを特定する手がかりを得られる可能性があります。
Infoblox Threat IntelのバイスプレジデントであるRenee Burtonは、次のように述べています。
「これらの攻撃者は、購買など組織のプロセスに対する信頼を悪用し、人々に認証情報を引き渡すよう誘導しています。これは、セキュリティ研修などで普段警告されるようなフィッシングの手口ではありません。」
今回の調査結果は、組織が利用者の意識向上とID管理に加えて、フィッシング活動の背後にあるインフラを早期に可視化することの重要性を、あらためて浮き彫りにしています。DNSベースの脅威インテリジェンスを活用すれば、防御側は、利用者が不正なページにたどり着く前、あるいは攻撃者が認証済みセッションにアクセスする前の段階で、キャンペーンのパターンを上流で特定できます。
本リリースは、Infoblox Inc. が現地時間7月21日に配信したブログ記事に基づき作成した日本語抄訳です。その内容および解釈については、英文が優先されます。
Infoblox Threat Intelについて
Infoblox Threat Intelは、独自に収集・分析したDNS脅威インテリジェンスを提供する組織であり、多数の情報を集約するサービスとは一線を画すアプローチを取っています。DNSに関する専門的な知見と、インターネット上の広範な観測データに基づく可視性を強みとし、他者には見えない脅威アクターの動向を把握しています。防御的な対応にとどまらず、得られた知見をもとにサイバー犯罪が動き出す段階から積極的に阻止しています。また、詳細な調査レポートの公開やGitHubを通じたインジケーター（IoC）の共有を通じて、セキュリティコミュニティ全体への貢献も重視しています。
Infobloxについて
Infobloxは、先制的サイバーセキュリティとハイブリッド・マルチクラウドネットワークの主要プラットフォームとして、企業の回復力と俊敏性を支えています。新興企業からFortune 100企業の過半数を含む5,700社以上のお客様に信頼され、重要なネットワークサービスをシームレスに統合・保護・自動化することで、企業が妥協なく迅速にビジネスを展開できるよう支援しています。詳細はInfoblox.comをご覧いただくか、LinkedInで当社をフォローしてください。
企業プレスリリース詳細へ
PRTIMESトップへ
