1769625013
2026-01-28 18:10:00
ShinyHunters キャンペーンは音声フィッシングを使用して MFA を回避し、企業データを盗みます Mathew J. Schwartz (ユーロインフォセック) • 2026 年 1 月 28 日
画像: オレクサンドル・ヤシュチュク/Shutterstock
ID プロバイダー Okta のシングル サインオン顧客は、企業ネットワークにアクセスしてデータを盗み、身代金を要求する攻撃者に対して警戒する必要があるとセキュリティ専門家は警告しています。
関連項目: オンデマンド | NYDFS MFA コンプライアンス: 金融機関向けの現実世界のソリューション
OktaのSSOツールのユーザーを標的としたソーシャルエンジニアリング攻撃の急増により、同社は先週、このキャンペーンについて顧客に直接警告した。これらの攻撃のすべてではないにしても、その多くはサイバー犯罪グループ ShinyHunters の名のもとに実行されています (以下を参照)。 音声フィッシング Okta の顧客: ShinyHunters がクレジットを請求）。
グーグルのマンディアント・コンサルティング・グループの最高技術責任者（ＣＴＯ）、チャールズ・カーマカル氏は、「これは活発かつ進行中のキャンペーンであり」、複数の被害者からデータの窃盗につながり、その後「シャイニーハンターを名乗る攻撃者が一部の被害者組織に恐喝の要求を持ちかけた」と述べた。
これらの攻撃を珍しいものにしているのは、犯罪者が最新世代の高度に自動化されたフィッシング ツールキットを使用して、トリックの一環としてリアルタイムの会話を行っていることです。これにより、高度に組織化された攻撃の一環として、ユーザーを本物のログイン画面にリダイレクトできるようになります。
「これは、標準的な自動化されたスプレーアンドプレイ攻撃ではありません。これは、強化された多要素認証設定さえもバイパスするように設計された、人間主導の、インタラクションの多い音声フィッシング、つまり「ビッシング」操作です。」 言った 脅威インテリジェンス企業 Silent Push。
使用されている「ライブ フィッシング パネル」ツールにより、「人間の攻撃者がログイン セッションの途中に座って、認証情報と MFA トークンをリアルタイムで傍受し、企業のダッシュボードへの即時かつ永続的なアクセスを取得する」ことが可能になるという。発信者は、攻撃者が指定した望ましいアクションのリストを被害者に案内するように設計されたスクリプトを使用しているようです。
攻撃者が成功してアクセスを取得すると、多くの場合、Slack や Teams などの内部コミュニケーション ツールを使用して「ソーシャル エンジニアリングにより高い権限を持つ管理者への」アクセスを使用して横方向に移動します。サイレント・プッシュ氏によると、彼らは別のIDで同社のMFAプログラムに登録しようとしているほか、「公の恐喝のために迅速なデータ流出を優先している」という。
ソフォスの脅威インテリジェンス担当ディレクター、レイフ・ピリング氏は、2025年12月以降に作成された悪意のあるインフラストラクチャに部分的に基づいて、最大150の組織が積極的に標的にされているか、攻撃者の視野に入っているようだと述べた。
同氏は、「詐欺師は、認証情報を盗み、多要素認証を回避するために、ターゲットごとに 1 つずつカスタム ドメインを登録している」と述べた。
研究者らによると、標的は大手金融サービス、ヘルスケア、物流・運輸、製造、バイオテクノロジー・製薬、テクノロジー・ソフトウェア、不動産企業など、多数のセクターにまたがっているという。
ベンダーのソフトウェアの欠陥や脆弱性を悪用しないライブフィッシング攻撃に対する唯一の最善の防御は、強力な MFA です。
「可能な限り、FIDO2 セキュリティ キーやパスキーなど、フィッシング耐性のある MFA に移行することを強くお勧めします。これらの保護は、プッシュ ベースや SMS 認証とは異なり、ソーシャル エンジニアリング攻撃に耐性があるからです」と Mandiant の Carmakal 氏は述べています。
「管理者は厳格なアプリ認証ポリシーを実装し、異常な API アクティビティや不正なデバイス登録のログを監視する必要もあります」と同氏は述べています。
企業は、この活発なキャンペーンが従業員を直接ターゲットにしている可能性があることを従業員に警告し、それがどのように機能するかの例を示し、組織の実際のIT部門と実際に通信していることを確認するためのアウトオブバンドの方法を提供する必要がある、とサイレント・プッシュ氏は述べた。
「この期間中に誰かが不審なメッセージ、電話、電子メールを受け取った場合は、直ちに管理者やセキュリティチームにエスカレーションして確認する必要がある」としている。
ShinyHunters は、自らを The Com と呼ぶ西側の主に青少年のサイバー犯罪コミュニティから出現しました。この集団のメンバーの多くは英語を母国語としており、IT サポート スタッフになりすまして電話ベースのビッシング キャンペーンを実行することがよくあります。グループのメンバーは、最近では Scattered Lapsus$ ShinyHunters など、さまざまなバナーを自由に採用しています (以下を参照) Madman Theory スパーズ Crazy Scattered Lapsus$ ハンターズ プレイブック）。
「はっきり言って、Com ランサムウェアグループにお金を払うのは無意味だ。彼らはロシアの身代金ビジネスモデルがなぜ機能するのかを根本的に理解しておらず、被害者は約束されたものを受け取れないのだから、Com 恐喝者には一銭も金を払う資格はない」と彼女は述べた。
ニクソン氏は「金を払うか払わないかにかかわらず、どちらの選択も結果は同じだ。そのお金を貯めて、とにかくやらなければならないIRと弁護士の事務手続きに集中するだけだ」と語った。
#ソーシャル #エンジニアリング #ハッカーが #Okta #シングル #サインオンを狙う