サイバーセキュリティ企業Push Securityの最新レポートにより、企業や組織のアカウントを標的とした大規模なフィッシング攻撃キャンペーンが検出されたことが明らかになりました。このキャンペーンは、OpenAI、SpaceX、Anthropicといった著名なブランドを装った技術イベントへの偽の招待状を送信するもので、巧妙に作り込まれた偽の登録ページを使用して、MicrosoftおよびGoogleアカウントの認証情報や認証トークンを盗み取ります。
研究者によると、攻撃にはKali365とVoidProxyという、高度に統合された「フィッシング・アズ・ア・サービス（Phishing-as-a-Service）」プラットフォームが使用され、多段階の認証攻撃が実行されています。Kali365プラットフォームはデバイスコード攻撃を通じてMicrosoftアカウントを標的にすることに特化しており、一方でVoidProxyプラットフォームは、Googleへのログインプロセスを傍受してセッションクッキーを盗む攻撃の仲介者として機能します。
攻撃のメカニズムと著名なブランドの悪用
このキャンペーンは、GoogleやZapierのURL短縮サービスなどの信頼できるサービスからのリダイレクトリンクを通じて被害者を誘い込み、さらに以前の段階ではGoTo WebinarやZoomといった合法的なプラットフォームのインフラも悪用しています。偽の登録ページでは、特定のイベントへの参加と引き換えに、ChatGPT Proの3ヶ月間無料利用や、SpaceXの架空の株式割り当てといった魅力的な特典が提示されます。
登録ページを表示する前に、悪意のあるサイトはCloudflare CAPTCHAを使用して訪問者の身元を確認し、自動化されたセキュリティプラットフォームによるサイトのスキャンを防ぎます。被害者が自身のMicrosoftアカウントを使用して登録しようとすると、ページはKali365プラットフォームと通信してデバイス認証コードを作成します。これにより、攻撃者はパスワードを直接要求することなく、Microsoft 365、Salesforce、Google Workspaceなどのサービスに接続されたアプリケーションにアクセスできるようになります。
この攻撃が実務上もたらす変化とは？
このキャンペーンの危険性は、既にアクティブな認証セッションを捕捉するか、あるいはOAuth 2.0のデバイス認可フローを悪用することにより、従来の二要素認証（2FA）を完全に回避できる能力にあります。Googleのオプションを選択すると、VoidProxyプラットフォームを介してポップアップウィンドウが開き、認証情報、認証レスポンス、およびセッションクッキーを傍受する仲介者として機能します。
これらの脅威から保護するために、セキュリティ機関は、報酬と引き換えに業務アカウントでのログインを要求するイベントの招待に対して細心の注意を払うこと、見慣れないサイトから送られてくるデバイス認証コードの入力を避けること、デバイスコード認証を必要としない環境では制限すること、そしてフィッシング耐性のあるFIDO2セキュリティキーを採用することを推奨しています。