セキュリティ企業Huntressの研究者が、Microsoft 365を狙った攻撃キャンペーンを公表しました。攻撃者は、利用者と本物のログイン画面の間に入り込む「AitM(アドバーサリー・イン・ザ・ミドル)」と呼ばれる中継の仕組みを使ってログイン中の状態(セッション)を盗み取り、その後、盗んだトークンを使い回して、79組織・97アカウントのメールに不正アクセスしたと報告されています。
ここで出てくる「トークン」とは、一度ログインに成功した利用者に発行される「入場許可証」のようなものです。これがあれば、パスワードや多要素認証(SMSやアプリでの確認)を改めて求められることなくサービスを使えてしまいます。AitM攻撃では、偽のログイン画面が本物のサイトとのやり取りをそのまま中継するため、利用者が正しくパスワードと確認コードを入力しても、その結果として発行される許可証が攻撃者の手に渡ってしまうのが厄介な点です。
こうしたやり方は、パスワードの流出に比べて目立ちにくく、多要素認証を有効にしているアカウントでも被害に遭う可能性があります。乗っ取られたメールアカウントは、取引先への成りすましメールや、社内の他のサービスへの足がかりとして悪用されることがあります。なお、攻撃の細かな手順については、ここでは触れません。
Microsoft 365を使っている組織や個人は、次の点を確認しておくと安心です。メールのリンクから直接ログインせず、ブックマークした正規のアドレスから開く、身に覚えのないログイン通知やサインイン履歴がないか確認する、管理者であれば、端末の準拠状況やFIDO2セキュリティキーなど、盗まれた許可証が使い回されにくい認証方式の導入を検討する、といった対策です。少しでも不審な点があれば、パスワードの変更とすべてのセッションのサインアウトを行い、組織の管理者に連絡してください。
こうした認証まわりの弱点は、広い意味でのセキュリティホールとして、ソフトの不具合だけでなく「運用や使い方の隙」からも生まれることを示しています。
出典: The Hacker News「Microsoft 365 Token-Replay Attacks Compromise 97 Accounts at 79 Organizations」