概要
セキュリティ企業ReliaQuestは8月24日、データ窃盗・恐喝グループShinyHuntersと関連する攻撃者による社会工学攻撃を受け、従業員1名が偽のシングルサインオン(SSO)ページに誘導されて認証情報を入力し、社内の閲覧専用ダッシュボードへの一時的なアクセスを許してしまったことを確認したと発表した。同社は、業務アプリケーションやシステム、顧客データへのアクセスは一切なく、攻撃者による永続的な足場の確立もなかったとして、被害範囲は限定的だったと強調している。
攻撃の手口
ReliaQuestによると、攻撃者は「reliaquest.claims」という偽ドメインを取得し、同社の正規SSOページを模したフィッシングサイトを構築した。その上で複数の従業員に電話をかけ、実在するセキュリティチームのメンバーになりすましながら偽SSOページへのアクセスを誘導するという、電話とフィッシングサイトを組み合わせた社会工学攻撃を仕掛けた。標的となった従業員のうち1名が偽ページに認証情報を入力し、さらに多要素認証(MFA)のプッシュ通知を承認してしまったことで、攻撃者は当該従業員のアイデンティティダッシュボードへの一時的なアクセスを獲得した。ReliaQuestは8月17日の時点で、ShinyHuntersが「.claims」系のドメインを用いたフィッシングキャンペーンを展開していることを把握・追跡していたとしており、実際の侵害は同社が声明を出す直前の週末に発生したとみられる。
被害範囲と対応
ReliaQuestは、攻撃者が獲得したのはダッシュボードへの閲覧専用アクセスにとどまり、そこから業務アプリケーションへアクセスしようとした試みはデバイス信頼制御などのセキュリティ機構によって一貫して阻止されたと説明している。追加のIDへのアクセス、業務システムへの到達、顧客データや社内データへの接触はいずれもなく、攻撃者による持続的なアクセス手段(バックドアなど)の設置も確認されなかったという。同社は侵害発覚後、攻撃者のセッションを即座に終了させ、露出した可能性のあるパスワードを失効させたほか、認証トークンを全面的にリセットする対応を取った。8月21日以降に実施した監査でも、不審な活動は検出されていないとしている。
ShinyHunters側の主張と食い違い
この発表は、ShinyHuntersが自らのリークサイトにReliaQuestのOktaダッシュボードとみられるスクリーンショットを投稿し、侵害の成功を誇示したことを受けたものだった。しかしShinyHunters側からも、盗んだ顧客データそのものの公開や、身代金要求、顧客への実害を示す具体的な証拠は示されていない。ReliaQuestは「ランサムウェアによる侵害や標的化があったとする主張は事実ではない」と述べ、限定的な初期アクセス以上の侵害はなかったとする立場を崩していない。両者の主張は「侵害が発生した」という点では一致するものの、その深刻度をめぐって見解が対立する形となっている。
ShinyHuntersは近年、大手企業を狙った大規模なデータ窃盗・恐喝キャンペーンで知られる攻撃グループであり、今回のようにセキュリティ企業自身を標的にする動きは、業界内でも警戒感を高めている。今回のケースは、多要素認証を導入していてもプッシュ通知の安易な承認や巧妙な電話でのなりすましによって初期侵入を許し得ることを改めて示す事例であり、デバイス信頼制御やゼロトラスト的なアクセス制限が被害拡大を防ぐ重要な防波堤として機能したことを裏付けている。