1723047419
2024-08-07 15:45:00
サイバーセキュリティの専門家による最近の調査で、Microsoft 365 のフィッシング対策メカニズムに脆弱性が見つかりました。この脆弱性は CSS を使用して悪用される可能性があります。この欠陥により、攻撃者は安全警告を回避できるため、Microsoft のフィッシング防御の堅牢性に対する懸念が生じています。
Microsoft 365 (旧称 Office 365) には、ユーザーを保護するためのさまざまなフィッシング対策が組み込まれています。その 1 つが、知らないアドレスからメールを受信したときにユーザーに警告する First Contact Safety Tip です。この警告は通常、HTML メールの本文の先頭に付加され、潜在的なリスクを知らせます。
しかし、Certitude の William Moody 氏と Wolfgang Ettlinger 氏は、CSS の変更によってこの警告を効果的に隠すことができることを実証しました。背景とフォントの色を白に変更することで、攻撃者は受信者に対して警告を見えなくすることができ、それによって意図された保護機能を無効にすることができます。
この脆弱性を説明するために、Certitude は特定の CSS ルールを使用して安全に関するヒントを隠す概念実証メールを作成しました。Outlook のレンダリング エンジンの制約により、表示をなしに設定したり、高さや不透明度を調整したりする一般的な CSS 手法は機能しませんでしたが、色のプロパティを変更すると効果がありました。このアプローチにより、警告は表示されていても目に見えないため、ユーザーを誤解させ、フィッシング攻撃が成功する可能性が高くなります。
さらに、研究者らは調査結果を拡張し、攻撃者が Microsoft Outlook で暗号化され署名されたメール アイコンを偽装する方法を実証しました。Unicode 文字と特定の CSS ルールを使用することで、これらのアイコンを本物らしく模倣できることを示しました。注意深いユーザーであれば、書式のわずかな違いに気付くかもしれませんが、注意力の低いユーザーは簡単に騙され、組織のセキュリティが危険にさらされる可能性があります。
この発見を受けて、Certitude は Microsoft Researcher Portal を通じて Microsoft に責任を持ってこの問題を開示しました。Microsoft は、発見の妥当性を認めたものの、主にフィッシング攻撃に関するものであるとして、この問題にすぐに対処しないことに決めました。ただし、同社は、製品を改善するために、今後の検討対象として発見をマークしました。
フィッシングについてさらに読む: 米国と欧州の組織を狙ったフィッシング攻撃が倍増
#Microsoft #フィッシング警告は #CSS #で非表示にできる