概要
フィッシングキット「Mirage2FA」を用いたAiTM(Adversary-in-the-Middle)型の攻撃キャンペーンが、米国・欧州を中心に4,532の独立した組織メールドメインを標的にしていることが明らかになった。攻撃はMicrosoft 365の正規ログインフローを悪用し、ユーザーIDとパスワードだけでなく、二要素認証(2FA)コードやセッションCookieまで窃取する点が特徴だ。被害者が正規に多要素認証を完了させた直後にセッションを乗っ取られるため、従来のMFAによる防御が実質的に無効化されてしまう。
攻撃キャンペーンの規模
Mirage2FAは2024年から2026年にかけて活動が続いており、直近の調査では標的となった組織の63.7%が米国に集中していることが判明した。加えてインド、シンガポール、英国、カナダなど複数の国でも被害が確認されており、業種別では技術・製造・教育分野が主な標的となっている。研究データでは、クッキー窃取・パスワード窃取・SSOログイン・2FA回避といった9,000件以上の潜在的な侵害イベントが追跡されており、標的となったメールアドレスのうち48%が何らかの形で侵害された可能性があると推定されている。
技術的な手口
このキャンペーンの核心はAiTM手法にある。攻撃者はMicrosoft 365の本物そっくりのログインページを用意し、被害者が入力した認証情報をリアルタイムで中継しながら、多要素認証のプロセスもそのまま通過させる。この過程で認証済みのセッションCookieを盗み取ることで、パスワードや2FAコードを再入力させることなくアカウントへのアクセスを維持できてしまう。窃取したセッションを使えば、SSO(シングルサインオン)で連携された他の業務サービスにも横展開が可能になり、企業メールや社内ワークフロー、信頼された取引先アカウントへの不正アクセスにつながる。パスワードのリセットだけでは対処できず、セッションの無効化まで含めた対応が必要になる点が、通常のフィッシング被害よりも深刻とされている。
今後の見通し
セッション窃取型の攻撃は、なりすましや詐欺、さらなる侵害の足がかりとして悪用されるおそれがあり、被害組織には取引先や顧客を巻き込んだ二次被害が波及する可能性もある。企業側には、MFAの導入だけに頼らず、条件付きアクセスポリシーやセッショントークンの継続的な検証、異常なログインパターンの監視といった多層的な防御体制の強化が求められている。