新型フィッシングキャンペーンがMicrosoft認証を悪用、企業に警戒を呼びかけ

フィッシングキャンペーンの急増 - Microsoftの認証を悪用

最近、チェック・ポイント・リサーチによって、新たなフィッシングキャンペーンが発見されました。この攻撃は、Microsoftの正規認証システムを利用しており、従来のフィッシング手法とは一線を画した巧妙さがあります。具体的には、攻撃者がMicrosoftの正規のサインインページを悪用し、企業ユーザーを標的にしたフィッシングメールを送信しています。

攻撃手法の詳細

チェック・ポイントによると、攻撃者たちはMicrosoft Teamsのタスク通知を装った200通以上のフィッシングメールを、約120の組織に送信しています。メールの内容は、人事部門からのタスク通知となっており、受信者を正規のMicrosoftサインインページに誘導する形で巧妙に仕組まれています。受信者は、正規の認証プロセスを経て攻撃者が管理するアプリケーションに権限を与えるよう促されます。

フィッシングメールの特徴

攻撃メールの送信者名は「There’s New Activity On Team」とされており、件名には「HR@[company].com Sent 3 Messages Via Teams Chat」と記載されています。本文には、「給与・報酬・福利厚生の更新」と言った重要な内容が含まれ、「未処理の従業員タスク4件」というカウンター表示によって緊急性が演出されています。これにより、受信者は速やかにリンクをクリックするよう仕向けられています。

攻撃の流れ

1. 受信者がリンクをクリック: リンクを開いた時点で、表示されるURLは正規のlogin.microsoftonline.comに類似したものとなっており、偽装であることを疑わせません。
2. サインイン: サインイン後、ユーザーは「権限を承認」するよう求められ、承認すると攻撃者の管理するエンドポイントにリダイレクトされます。
3. データの取得: 攻撃者は、ユーザーが許可した権限を基に、Microsoft 365環境内の情報にアクセス可能になります。

攻撃に伴うリスク

この手法は、個人情報や企業データへのアクセスを可能にするため、非常に危険です。メール、ファイル、Teams、SharePoint、OneDrive、カレンダーなどへのアクセスが許可されてしまうことで、ビジネスメール詐欺（BEC）などの次なる攻撃に繋がる可能性があります。

特に、北米地域では98.3％という高い割合で被害が確認されており、産業・製造業や法務・専門サービスが特に狙われています。フィッシングメールが送信者自身のアドレスから届くような手口は、被害を拡大させています。これにより、従来のフィッシング対策が機能しにくくなってしまっています。