フィッシング代行「BigBear 2.0」、FIDO2無効化スクリプトでMicrosoft 365のMFAを大規模突破

概要

セキュリティ企業CloudSEKの調査により、フィッシング代行サービス(Phishing-as-a-Service)「BigBear 2.0」がMicrosoft 365環境を標的に大規模な認証情報窃取キャンペーンを展開していたことが明らかになった。Evilginx2ベースの中間者攻撃(AiTM)基盤を用い、40か国以上・461組織から5,137件の認証情報を窃取、うち474件(全体の9.2%)では多要素認証(MFA)を完全に突破していたという。さらにMFAを実際に突破した組織は258社に上るとされ、パスワード保護だけでは通用しない攻撃の巧妙さが浮き彫りになった。

技術的な手口

BigBear 2.0の中核はEvilginx2のフィッシュレット(phishlet)機構で、被害者がフィッシングURLにアクセスすると、正規のMicrosoft 365ログインページとの通信をリアルタイムで中継するプロキシとして動作する。この仕組みにより、パスワードだけでなくMFAコードや認証済みセッションクッキーまでもがそのまま攻撃者側に傍受される。

とりわけ悪質なのが、Object.defineProperty(window, 'PublicKeyCredential', { value: undefined }) というカスタムJavaScriptを注入し、ブラウザ側でFIDO2/WebAuthnのサポートを無効化する手口だ。これにより、ハードウェアセキュリティキーを利用しているユーザーであっても、SMSやTOTPといったフィッシング可能な認証方式へのフォールバックを強制され、本来はフィッシング耐性が高いはずの認証方式が無力化される。

窃取された認証情報の内訳は、平文パスワードが1,032件、セッションクッキーが4,148件で、クッキーを奪取された場合はMFAの有無に関わらずセッションのリプレイによってアカウントを乗っ取ることが可能になる。被害は地域的にも広範で、インド(658件、12.8%)、フランス(463件、9%)、サウジアラビアなどが上位を占めた。

インフラと運用体制

攻撃基盤はVultr経由で運用される42台のVPSノードによって構成され、69か国分のジオマッチング型住宅プロキシと組み合わせることで、被害者の実際の所在地に合わせたIPアドレスからアクセスしているように見せかけ、Microsoft側の異常検知を回避していた。位置情報の判定にはipapi.isのようなサービスが利用されているとみられる。

このパネルは少なくとも5人のオペレーターにリースされ、窃取した認証情報はTelegramボットを通じてリアルタイムで攻撃者に通知される仕組みになっており、フィッシング代行サービスとしての「商用化」が進んでいる実態がうかがえる。

対策

CloudSEKは、影響を受けた可能性のある組織に対し、対象パスワードのリセット、アクティブなセッション・リフレッシュトークンの失効化、高権限アカウントの再認証を早急に実施するよう推奨している。また中長期的な対策として、地理情報などのシグナルに依存せず管理デバイス要件に基づく条件付きアクセスポリシーの適用、そしてハードウェアにバインドされたFIDO2/WebAuthn認証の強制導入を挙げている。ソフトウェアベースのMFAはAiTM攻撃によって突破され得ることが改めて示された形で、企業のセキュリティ担当者には認証方式そのものの見直しが求められる。