Kali365フィッシングキットが多要素認証を回避し、Microsoftアカウントのログイン情報を盗み出す

連邦捜査局（FBI）が新しいフィッシングキットに関する専用の注意喚起を発表する際は、注目に値する。

同機関は現在、「Kali365」について警告を発している。これは、技術力の低い攻撃者であっても、パスワードではなくアクセストークンを盗むことでMicrosoft 365アカウントを乗っ取ることができるようにする、フィッシング・アズ・ア・サービス（PhaaS）プラットフォームである。

初期の報道では組織を標的とした攻撃に焦点が当てられていますが、その根底にある手口は、本物のMicrosoftウェブサイト上で短いコードを入力するよう騙された個々のMicrosoft 365ユーザーに対しても同様に容易に機能します。つまり、これは企業やIT部門だけの問題ではありません。Outlook、OneDrive、またはMicrosoft 365のサブスクリプションを利用している人なら誰でも影響を受ける可能性があります。

このキットを利用するサイバー犯罪者にとって、3つの明確な利点があります：

アクセストークンを盗み出すことで多要素認証（MFA）を迂回するため、トークンが侵害されてしまえば、追加のコードやアプリも役に立たなくなります。
Kali365 は継続的なアクセスを提供します。攻撃者は Outlook を使い続けることができます。 Teams盗まれたリフレッシュトークンが有効である限り、繰り返しログインすることなくOneDriveにアクセスできます。
技術的なスキルはほとんど必要ありません。サイバー犯罪者はKali365に加入するだけで、すぐに大規模なトークン窃取キャンペーンを実行することができます。

その攻撃はどのようなものですか？

被害者は、クラウドサービスやコラボレーションツールからのように見えるフィッシングメッセージを受け取ります。たとえば、ドキュメント共有通知などです。 Teams 招待状。メッセージには短い「デバイスコード」と、「Microsoft の認証ページにアクセスし、このコードを入力してドキュメントを表示してください」といった指示が含まれています。

詐欺か、それとも本物か？ Scam Guardが見極めます。

今すぐ試す

多くのフィッシングメールとは異なり、このメールはデバイスのサインインフローに使用される本物のMicrosoftのURLに誘導します。ユーザーにとって、そのページは見覚えがあり、完全に正規のものに見えるため、疑念を抱きにくくなります。

被害者はその後、Microsoftの標準的なサインイン画面や同意画面が表示されるため、単なる通常のセキュリティチェックを行っているだけだと誤解してしまう可能性があります。偽のページが表示されることはなく、不審なフォームにパスワードを入力することもなく、場合によっては自組織のブランドロゴが表示されることさえあります。

しかし、彼らが気づいていないのは、攻撃者にアクセス権を与えてしまったということだ。

被害者がリクエストを承認すると、攻撃者のデバイスは被害者の Microsoft 365 アカウントに関連付けられたOAuthアクセスおよび更新トークンを受け取ります。これらのトークンは、Microsoft が既にログインしていることを「記憶」するために使用するもので、Outlook、OneDrive、 Teamsパスワードを再度入力することなく、他のマイクロソフトサービスにもアクセスできます。

有効なリフレッシュトークンがあれば、攻撃者はトークンが失効または無効化されるまで長期にわたってアクセス権を維持することができ、その間、通常のアカウント活動に紛れ込むことがよくあります。

そのアクセスにより、サイバー犯罪者は以下のことが可能になります：

Outlookのメール（パスワード再設定のメッセージを含む）を読む
OneDrive または SharePoint に保存されているファイルにアクセスする
被害者のアカウントから、同僚、顧客、友人、または家族にフィッシングメールを送信する

身を守る方法

Outlookに侵入すると、攻撃者はメッセージを閲覧できるだけでなく、あなたのアドレスから本物そっくりの新しいメッセージを送信し、あなたの身元を悪用して他のアカウントや連絡先を乗っ取ることが可能になります。

これを避けるためのヒントをいくつかご紹介します：

メールやメッセージで指示されたからといって、Microsoftのログインページでコードを入力してはいけません。ご自身のデバイスで自らサインインを開始した場合にのみ、コードを入力してください。
落ち着いて指示をよく読んでください。ログイン承認を注意深く読まずに急いで処理すると、大きな損失を招く恐れがあります。
予期しない文書共有には注意し、 Teams 招待状やログイン要求は、たとえ正規のマイクロソフトのページを使用している場合でも、無効とみなされます。
https://account.microsoft.com/devices/ で、ご自身のアカウントにログインしているデバイスを確認してください。見覚えのないデバイスやログイン履歴がある場合は、それらを削除し、Microsoft アカウントのパスワードを変更して、セキュリティ設定を確認してください。

プロからのアドバイス： Malwarebytes Scam Guardを使えば、メッセージが詐欺かどうかを見分けることができます。

正直言って、シークレットウィンドウには限界がある。

情報漏洩、ダークウェブ取引、クレジットカード詐欺。Malwarebytes Identity Theft Protection Malwarebytesこれらすべてを監視し、迅速に警告を発するだけでなく、個人情報盗難保険も付帯しています。