Microsoft 365の認証情報を狙うフィッシングキャンペーンにより、偽のカレンダー招待が企業の受信トレイに殺到している。セキュリティ研究者は、4万を超える組織に送られた30万2386件以上の固有の悪意あるメールを特定しており、攻撃は10月を通じて加速した。
これらのメッセージは、Microsoft Teamsの会議依頼など、認証情報を盗むリンクを通常の会議招待に偽装している。正規の形式をしたカレンダー添付ファイルが届くこともあり、疑わしい予定をユーザーのスケジュールに直接登録できるため、元のメールが消えた後もフィッシングの誘い文句が表示され続ける可能性がある。
Check Pointの10月15日の調査結果によると、活動は9月25日から急増した。研究者らは9月に11万8000件を超えるカレンダーフィッシングメールを観測し、10月最初の2週間だけで74万件を超えるメールを確認した。
記録上最も多かったのは10月8日で、約20万件のメッセージが確認された。Check Pointの検知システムは別途、顧客全体で30万2386件の固有のフィッシングメールにフラグを付けた。送信元は3万3890を超える送信者ドメインと24万7270件の送信者アドレスに及んだ。
これらの数字は、確認されたアカウント侵害ではなく、観測されたフィッシング活動を示している。また、異なる指標を指している。30万2386件という数はCheck Pointの検知層が特定した固有のメール数であり、10月の合計はメッセージ全体の量を反映したものだ。
偽のカレンダー招待がMicrosoft 365の認証情報を盗む仕組み
このキャンペーンは、職場でよくある行動を利用している。従業員は日頃から会議招待を受け入れ、会議リンクを開き、疑わしいものとして扱わずにカレンダーのリマインダーを確認している。
攻撃者は、Check Pointが特定した次の2つの手法で、こうした習慣を悪用する。
- 悪意あるICS添付ファイル：メールには有効なカレンダーファイルが添付され、受信者をフィッシングサイトへ誘導する招待が記載されている。
- 偽装された会議リンク：Microsoft Teamsの招待に見せかけたメッセージに会議リンクを表示し、実際には認証情報を窃取するページへ誘導する。
どちらの手法も、Microsoft 365のソフトウェア脆弱性を悪用する必要はない。攻撃者は通常のカレンダー機能を使い、悪意あるリンクをクリックするよう利用者を仕向ける。
送信者アドレスとドメインの数が多いことから、単純なブロックリストの信頼性も低下する。後続の招待が異なるインフラから届けば、1つのアドレスをブロックしても効果はほとんどない可能性がある。
カレンダーの悪用は、配信後にも別の問題を引き起こす可能性がある。Netcraftの研究者らは、一部のメールクライアントが招待をカレンダーに自動追加し、受信者が元のメッセージを開かなくても登録される場合があることを明らかにした。
クライアントと設定によっては、関連するメールを削除した後も悪意ある予定が表示され続ける可能性がある。ユーザーは後日、カレンダーの通知やリマインダーを通じてリンクに遭遇することもある。
他のキャンペーンでは、この手法がさらに巧妙化している。
Netcraftは、会議招待を使って被害者を誘導し、Microsoftのデバイスコード認証を承認させるEvilTokens攻撃を記録している。偽のログインページにパスワードを入力させるのではなく、攻撃者が管理するデバイスを承認するよう被害者をだますことができる。
この手法は、正規の認証ワークフローを悪用する別のMicrosoft 365デバイスコードフィッシング作戦でも確認されている。
Mimecastは、細工されたカレンダー添付ファイルとQRコードを組み合わせた別の亜種を記録している。これらの手法はCheck Pointが観測したキャンペーンとは別物であり、裏付ける証拠なしに同じ攻撃者によるものと見なすべきではない。
フィッシングメールを削除しても脅威が消えない理由
従来のフィッシング対応では、悪意あるメールを特定し、メールボックスから削除して、送信者をブロックすることに重点が置かれてきた。
カレンダー招待によって、誘い文句が残る場所がもう1つ生じる。
メールを削除した後も残る予定には、元の会議の説明、疑わしいURL、予定されたリマインダーが含まれている可能性がある。セキュリティチームがインシデントを封じ込めたと考えた数日後に、従業員がリンクをクリックすることもあり得る。
そのため、対応には2つの異なる作業が必要になる。悪意あるメッセージを削除することと、対応するカレンダー予定が存在するかどうかを確認することだ。
影響を受けたMicrosoft 365アカウントを調査するセキュリティチームは、疑わしい外部招待によって作成された予定を含め、関連するカレンダーを確認する必要がある。また、ユーザーが埋め込まれたリンクをクリックしたか、予期しない認証要求を承認したかどうかも調べるべきだ。
リスクは攻撃によって異なる。偽のサインインページではユーザーの認証情報が流出する可能性がある一方、デバイスコードフィッシングでは認証トークンを通じて不正アクセスを許してしまう可能性がある。
「ARTokenフィッシングキット」に関する調査では、攻撃者がMicrosoftの認証ワークフローを使ってアカウントへのアクセスを維持できる仕組みが示されている。この調査は別の脅威活動を対象としたものであり、Check Pointのカレンダーキャンペーンの一部であると確認されたわけではない。
セキュリティチームがカレンダー招待フィッシングを阻止する方法
防御側には、受信する招待と、その後にユーザーが取る行動の両方を調べる対策が必要だ。
KnowBe4 Threat Labは、調査対象となった6カ月間にカレンダー招待フィッシングが49%増加したと報告している。その調査では、ICSの内容を検査し、疑わしいリンクを評価するとともに、招待の自動処理を確認するよう推奨している。
Microsoft 365の管理者が取れる実践的な対策には、次のものがある。
- ICS添付ファイルを検査する：カレンダーファイルに疑わしいURL、通常とは異なる予定の詳細、外部の宛先がないか確認する。
- カレンダー設定を確認する：外部からの招待が従業員のカレンダーに自動追加される設定になっているか確認し、適切な場合はその動作を制限する。
- リンク保護を強化する：メッセージが最初に届いた時だけでなく、ユーザーがクリックした時点でも疑わしい遷移先を評価する。
- 認証アクティビティを監視する：予期しないサインイン、疑わしいデバイスコード要求、不正なアプリケーション権限を調査する。
- インシデント対応を拡張する：フィッシングメールだけでなく悪意あるカレンダー予定も削除し、影響を受けたアカウントにアクセスがあったかどうかを確認する。
- 従業員を教育する：予期しない会議依頼を受けた場合、リンクをクリックする前に、確立された連絡手段を通じて正当なものか確認するようユーザーに促す。
フィッシングページに認証情報を入力していた場合、対応担当者はアカウントのアクティビティを評価し、侵害された認証情報をリセットし、疑わしいセッションを無効化して、不正な変更を調査する必要がある。攻撃者がアプリケーションの認証を取得していた場合、管理者は影響を受けた権限を取り消す必要もある。
Microsoft 365のカレンダーフィッシングは、1人の攻撃者や1つの配信手法に限られない。今回のCheck Pointの調査結果は広範な標的化を示しているが、4万組織が侵害されたことを示すものではない。
影響を受けた組織では、攻撃が従業員に到達し得る2つの場所、つまり元のメッセージと、それが作成したカレンダー予定の両方を対象に、直ちに対応すべきだ。
あわせて読みたい：Microsoftは最近、別のフィッシングネットワークを遮断し、10億件を超える悪意あるメッセージに関連したインフラの規模を示した。認証情報を盗む攻撃者が利用できるインフラの大きさを浮き彫りにしている。