概要

金銭目的の脅威グループ「UNC6671」が、企業従業員の個人携帯電話にビッシング(音声フィッシング)攻撃を仕掛け、SaaSアカウントの認証情報を窃取していることがGoogle Threat Intelligence Group(GTIG)の調査で明らかになった。攻撃者はITヘルプデスク担当者になりすまし、「FIDO2パスキーの有効化」や「MFAの緊急更新が必要」といった口実で従業員に電話をかけ、偽のログインポータルへ誘導する。GTIGによれば、これらの侵害は特定の製品の脆弱性によるものではなく、純粋にソーシャルエンジニアリングの巧妙さによって成立しているという。同グループは2026年1月から5月の間だけでビットコインで約1,066万ドル(141.65 BTC)相当の身代金を受け取っており、初期の要求額は100万〜300万ドルにのぼるが、交渉の末に平均75万ドル程度まで値引きされるケースが多い。

攻撃の手口

攻撃はまず、攻撃者が正規のヘルプデスクの電話番号をスプーフィングし、従業員の個人携帯に直接電話をかけるところから始まる。「セキュリティ移行が必須」「パスキーの再設定が必要」といった緊急性を演出し、被害者をcreatessopasskey[.]comやpasskeyhelpdesk[.]comのような偽のログインポータルへ誘導する。このポータルはAdversary-in-the-Middle(AitM)型のリバースプロキシインフラとして機能し、入力された認証情報とMFAトークンをリアルタイムで傍受する。

窃取した認証情報を使ってOktaやMicrosoft Entra IDなどのID基盤に不正アクセスした後、攻撃者は自ら制御するMFAデバイスを登録して持続的なアクセス権を確保し、既存のセキュリティ設定を無効化する。さらに侵害したメールアカウントを使ってSSO非対応アプリケーションのパスワードをリセットし、python-requestsやPowerShell、Go製HTTPクライアントなどを用いた自動化スクリプトでMicrosoft 365やOktaからデータを大量に抽出する。攻撃の痕跡を消すため、パスワードリセットの確認通知やセキュリティアラート、MFA設定変更ログを系統的に削除する防御回避も行われている。

ブランドの変遷と標的の変化

UNC6671は当初「BlackFile」というブランド名で活動していたが、2026年5月にこのブランドを「廃業」させ、その後「Redact」「Pink」「Helix」「Falcon」など複数のブランドへと分裂・展開してきた。Redactは2026年6月27日の声明で、BlackFileブランドが離反したメンバーに乗っ取られ、無許可の勒誘行為が行われたためブランドを刷新したと主張している。しかしGTIGは、各ブランドのインフラやフィッシングテンプレートに重複が見られることから、これらが実質的に同一の脅威アクターグループである可能性が高いとみている。一方で、内部分裂やフィッシングパネルの共有利用、初期侵入と交渉工程の分業といった複数のシナリオも排除していない。

標的業界も時期によって変化しており、2026年4月から5月にかけては製造業・不動産・医療・保険などの大企業が中心だったが、6月には知的財産やソースコードを狙ってテクノロジー・運輸・ホスピタリティ業界へ、そして7月には機密性の高いM&A関連情報を持つプライベートエクイティ企業や法律事務所、金融格付け機関など金融・法務セクターへと標的を絞り込んでいる。攻撃の展開ペースも加速しており、4〜5月は平均2.2日に1ドメインの登録だったのに対し、6〜7月には1.6日に1ドメインへと速まり、7月20日から22日のわずか72時間で7つの新規ドメインが登録されるピークも記録された。攻撃範囲は北米・オーストラリア・英国の数十組織に及んでいる。なお、GTIGは既知の脅威グループ「ShinyHunters」との手口の重複も確認しているが、両者は現時点で独立して活動していると評価している。

対策への提言

GTIGとCrowdStrikeは、この種の攻撃がベンダー製品の脆弱性ではなく、IDプロバイダーとSaaSアプリケーション間の信頼関係の悪用に起因すると強調しており、対策としてローミングセキュリティキーやパスキー、Windows Hello for BusinessなどFIDO2準拠の認証器を必須化し、WebAuthnの暗号的オリジンバインディングによってAitM攻撃を無効化することを推奨している。加えて、SSO統合による認証の一元管理、1日1回以上の再認証やアイドルタイムアウト、重要リソースへのアクセス時のステップアップ認証といったセッション管理の強化、企業管理デバイス(MDM/EDR)の必須化、VPNやSASEなど信頼できるネットワークソースからのアクセスに限定するネットワーク制御も有効とされる。監視面では、MFA登録イベント直前の認証失敗や放棄されたMFAチャレンジなどIDプロバイダーのログの分析、スクリプティングツールのユーザーエージェントを用いた異常な大量ファイルアクセスの検出も重要な防御策として挙げられている。