サイバーセキュリティ企業ReliaQuestは、攻撃者がセキュリティチームのメンバーになりすましたソーシャルエンジニアリング攻撃を従業員の1人が受けたことを確認した。ただし、同社のシステムやデータへのアクセスを試みた攻撃者の試みは成功しなかった。同社によると、攻撃者は複数の従業員に電話をかけ、コンテンツ配信ネットワークの背後でホストされた、シングルサインオン（SSO）サービスの偽ログインページへ誘導しようとした。
この件は、ReliaQuestの脅威リサーチ部門が、恐喝グループShinyHuntersによるものとするキャンペーンについて警告した後に始まった。このキャンペーンでは、.claims拡張子の下にドメインを登録し、標的組織のヘルプデスクやITチームのドメインに似たアドレスを作成している。同社によると、ドメインは拡張子の前に組織名またはその略称を置くパターンに従っている。BleepingComputerの情報筋は、この事件で使用されたドメインをreliaquest.claimsと特定した。
アプリケーションへ移行しなかった一時的なアクセス
標的となった従業員の1人は、偽のSSOページに認証情報を入力し、さらに電話を通じて多要素認証の通知を承認した。その結果、攻撃者にはReliaQuestのアイデンティティー・ダッシュボードへの一時的な読み取り専用アクセスが与えられた。また、攻撃者は音声フィッシングの電話中に、セキュリティチームの実在する従業員の名前を使用したとみられる。
しかし、そのアクセスがより広範な侵害に発展することはなかった。同社によると、デバイス信頼制御により、アイデンティティー・ダッシュボードを通じたその後のアプリケーションへのアクセス試行は阻止され、攻撃者はそれらのアプリケーションを使用しようとした際も拒否され続けた。ReliaQuestによると、同社のアプリケーションやシステムにはアクセスされず、顧客データにも触れられていない。
同社は攻撃者のセッションを終了させ、流出したパスワードを無効化し、すべての認証トークンをリセットした。また、8月21日以降のアクセス制御、デバイス信頼、ネットワーク内からのアクセスの適用状況を確認した。同社は、他のアカウント、アプリケーション、データへのアクセスや、攻撃者がシステム内に永続化手段を作成したことを示す証拠は調査で見つからなかったと述べた。
この事件が実際に示すこと
この事例は、フィッシングの成功、認証情報の窃取、MFA要求の承認が、攻撃者に組織のリソースへのアクセス能力を自動的に与えるわけではないことを示している。このケースでは、信頼要件を満たさないデバイスまたはコンテキストから行われた試みを、追加の制御レイヤーが阻止した。これはReliaQuestが説明した事件の経緯に基づく解釈であり、多要素認証だけで侵害が阻止されたことを示す証拠ではない。
ShinyHuntersは、ReliaQuestの従業員に属するOkta SSOアカウントの侵害を証明すると主張するスクリーンショットを公開し、その後、同社のデータリークサイトに掲載した。同グループは投稿で、ReliaQuestによる過去の報告に言及し、BleepingComputerに対して、自らのアクセスは読み取り専用であり、アプリケーション、システム、顧客データには到達しなかったと述べた。しかし、ReliaQuestは攻撃を実行した主体がShinyHuntersであることを追加で確認していない。そのため、利用可能な情報において、事件を同グループの犯行とする帰属は未確定の主張にとどまっている。