「セキュリティ担当者」を騙る電話+偽SSOでMFA承認まで突破された事件

米セキュリティ企業ReliaQuestが8月25日、自社従業員を狙ったソーシャルエンジニアリング攻撃を公表した。手口自体は目新しくない、電話とニセのログインページの組み合わせだ。だが結果を見ると「多要素認証(MFA)の承認までは突破された」のに「その先で止まった」という、防御側にとって示唆に富むケーススタディになっている。

電話とニセSSOページのコンボでMFAまで突破 #

8月22日、攻撃者はReliaQuestのドメインに酷似した「reliaquest[.]claims」を取得し、CDNの裏にニセのシングルサインオン(SSO)ページを設置した。続けて複数の従業員に電話をかけ、実在するセキュリティ担当者の氏名を名乗ってニセページへ誘導。そのうち1名がパスワードを入力し、届いたプッシュ通知の承認まで行ってしまった。

いわゆる「MFA疲労」「プッシュ爆撃」の典型で、ID・パスワードだけでなく多要素認証すら突破されている。

止めたのは「未管理端末お断り」の一線 #

攻撃者が得たのは自社アイデンティティ基盤の閲覧専用セッションのみ。業務アプリケーションへ繰り返しアクセスを試みたが、自社が管理していない端末からのアクセスを一律拒否する「デバイストラスト」制御に阻まれ続けた。ReliaQuestは攻撃者のセッションを終了し、漏洩したパスワードを失効、全認証要素をリセットして封じ込め。直近48時間を対象にした調査でも、他の侵害の痕跡は確認されなかったという。

ShinyHuntersを名乗るアカウントは同日、自社の恐喝サイトにReliaQuestを掲載した。示された証拠はアカウント設定画面のスクリーンショット数枚のみで、顧客データの流出は確認されていない。