見えない脅威: Phishing-as-a-Serviceの取り締まりと先制防御戦略を分析する

デジタル脅威の状況は常に変化していますが、一部の攻撃ベクトルは依然として効果を発揮し続けています。特にフィッシングは、Phishing-as-a-Service (PaaS) キットを通じて民主化された進化を遂げてきました。これらのキットはサイバー犯罪への参入障壁を下げ、洗練されていない攻撃者でも非常に説得力があり、損害を与えるキャンペーンを展開できるようにしています。最近の法執行機関の行動と業界レポートは、これらのサービスの蔓延と、堅牢で先制的な防御メカニズムの喫緊の必要性を強調しています。

何が起きたのか

最近の事件は、Phishing-as-a-Service (PaaS) 運用の巧妙さに焦点を当てました。注目すべき一例として、あるPaaSキットが停止されたと報じられています。この特定のサービスは、多数の受信トレイを侵害することに関連していました。このキットは、パスワードを直接盗むことなく不正アクセスを得るために、標準的なOAuthデバイスフローを悪用するデバイスコードフィッシングとして知られる手法を採用していました。

別の主要なPaaS運用は、フィッシングリンクを拡散するためにソーシャルメディアプラットフォームを広範囲に利用していることが特定されました。このキットは、被害者を誘い込むために魅力的なオファーを利用しました。この運用は広範囲に及び、さまざまな地域のユーザーに影響を与え、小売、銀行、通信などの分野の主要ブランドを標的にしていました。これらの運用の規模と範囲は、PaaSキットがもたらす持続的な課題を浮き彫りにしています。

なぜこのパターンが繰り返されるのか

PaaSキットの持続的な成功は、防御者を悩ませながらも攻撃者に利益をもたらすいくつかの要因に根ざしています。第一に、これらのサービスはサイバー犯罪者にとって技術的な参入障壁を大幅に低減します。既製のキットは、しばしば闇市場で購入またはサブスクリプションで利用でき、洗練されたフィッシングインフラ、テンプレート、さらには被害者管理ツールを提供し、オペレーターには最小限の技術的専門知識しか必要としません。

第二に、PaaSキットの適応性により、新しい回避技術を迅速に組み込み、幅広いプラットフォームやサービスを標的にすることができます。この敏捷性により、従来のセキュリティ制御を回避し、一部のキャンペーンで使用されているデバイスコードフローなどの進化する認証メカニズムを悪用することができます。新しいバリアントや攻撃ベクトルの継続的な出現は、組織が静的な防御を維持することを困難にしています。

最後に、これらのサービスのグローバルな性質は、しばしばさまざまな管轄区域にホストされており、法執行機関の取り組みを複雑にします。特定の運用の取り締まりは重要ですが、サイバー犯罪エコシステムの分散型でレジリエントな性質は、その空白を埋めるために新しいサービスやバリアントがしばしば出現することを意味します。新しいインフラストラクチャのセットアップと新しいオペレーターの募集の容易さが、この繰り返しのパターンに寄与しています。

攻撃者のプレイブックのステップバイステップ

PaaSキットの運用方法は、明確な多段階のプレイブックに従います。

ステージ1: インフラストラクチャとキットの調達

攻撃者はまずフィッシングキットを入手または開発します。サービスは、アンダーグラウンドフォーラムで購入されるか、社内で開発されます。このキットには、正規のログインポータルを模倣するように設計されたフィッシングページのテンプレート、認証情報収集メカニズム、場合によってはキャンペーンや収集されたデータを管理するためのバックエンドパネルが含まれます。

ステージ2: ターゲットの選択と偵察

次のステップは、ターゲットを特定することです。これは、ソーシャルメディアの割引に見られるような大規模なユーザーベースを対象とした広範で無差別なキャンペーンから、特定の組織を対象としたより集中的なキャンペーンまで多岐にわたります。偵察には、ターゲットが使用する一般的なサービス（クラウド生産性スイートなど）を特定し、フィッシングの誘い文句を調整することが含まれる場合があります。

ステージ3: 誘い文句の作成と配信

攻撃者は、被害者を騙すための説得力のある誘い文句を作成します。一部の運用では、これは大規模な割引を約束するソーシャルメディア広告を含み、ユーザーを偽のeコマースサイトに誘導しました。他のキャンペーンでは、デバイスコードフィッシングが使用されました。このシナリオでは、被害者は悪意のあるサイトに誘導され、パスワードを要求する代わりに、別の画面に表示されるデバイスコードを入力するよう求められます。このコードは、攻撃者によって被害者の正規のログインページで自身のデバイスを認証するために使用されます。

ステージ4: 認証情報の収集とセッションハイジャック

フィッシングページとの正常なやり取りが完了すると、キットは認証情報を収集するか、デバイスコードフィッシングの場合は認証トークンを取得します。デバイスコードフィッシングでは、攻撃者は被害者のセッションにアクセスし、適切に設定されていない場合やユーザーが悪意のあるログインを承認した場合、多要素認証（MFA）を効果的に回避します。これにより、メールの受信トレイなどの機密リソースにアクセスできるようになります。

ステージ5: 収益化と永続性

最後に、収集されたデータは収益化されます。これには、侵害されたアカウントへのアクセスを販売したり、侵害された環境内からさらなる攻撃を開始したり、機密データを直接引き出したりすることが含まれます。攻撃者は、検出されるまで可能な限りアクセスを維持し、永続性を目指すことがよくあります。

現代のフィッシングキットの巧妙さは、その技術的な能力だけでなく、人間の心理と正規の認証フローを悪用する能力にあります。これにより、従来の防御では不十分になっています。

防御者が見逃したもの

PaaSキットが関与する事件では、いくつかの防御上のギャップがしばしば明らかになります。主な課題は、新しいフィッシングドメインと類似サイトの急速な拡散です。従来のブラックリストアプローチでは、これらのキットが生成する膨大な数の新規登録、タイプスクワット、およびピュニコードドメインに追いつくのに苦労します。継続的な先制的なハンティングと迅速なグローバル法的手続きによるテイクダウンを提供するサービスは、この課題への対応であり、多くの組織が内部で達成できるよりも迅速な検出と対応の必要性を強調しています。

もう一つの重要な見落としは、認証バイパスの進化する性質です。最近の事件は、攻撃者がOAuthデバイスコードフローのような正規の認証フローをどのように悪用できるかを示しています。多くの組織は、直接的なパスワード窃盗を伴わない攻撃を検出または防止するために、ユーザーを適切に訓練したり、セキュリティソリューションを設定したりしていない可能性があります。焦点は、正規のシステム動作を悪用するより巧妙なソーシャルエンジニアリング戦術を見落とし、偽のログインページを介した認証情報の収集に依然として置かれがちです。

さらに、侵害の速度とこれらの攻撃の規模は、しばしばインシデント対応能力を圧倒します。フィッシングキャンペーンが検出され、修正されるまでに、かなりの数のアカウントがすでに侵害されている可能性があります。これは、単なる事後対応的な措置ではなく、より先制的な脅威インテリジェンスと予防的な防御態勢の必要性を示しています。

実用的な防御チェックリスト

CISOとセキュリティエンジニアは、進化するPaaSキットの脅威に対抗するために、多層防御戦略を実装する必要があります。これには、技術的アプローチと人間中心のアプローチの両方が含まれます。

• メールおよびウェブゲートウェイのセキュリティ強化: URL書き換え、ドメイン類似性、コンテンツ分析などの高度なフィッシング技術を検出する高度なメールフィルタリングを実装します。既知の悪意のあるドメインや新しく登録された疑わしいサイトへのアクセスをブロックするために、リアルタイムの脅威インテリジェンスフィードを備えたウェブゲートウェイを導入します。
• 認証メカニズムの強化: すべての重要なサービスで強力な多要素認証（MFA）を強制します。デバイスコードフローの場合、ユーザーが要求の正当性とそれを開始するデバイスを確認するように訓練されていることを確認します。可能であれば、FIDO2準拠のパスキーまたはハードウェアセキュリティキーを検討してください。これらはフィッシングに対して本質的に高い耐性を持っています。
• 継続的なユーザー意識向上トレーニングの実施: ソーシャルエンジニアリングの誘い文句、デバイスコードフィッシング、疑わしいリンクをクリックしたり未検証のサイトに認証情報を入力したりする危険性など、最新のフィッシング戦術について従業員を定期的に教育します。批判的思考と検証プロセスを強調します。
• 堅牢なブランド保護およびテイクダウンサービスの導入: フィッシングドメイン、タイプスクワット、不正なモバイルアプリを継続的に先制的にハンティングするサービスと提携します。これらのサービスが、短いSLAで迅速かつ法的に拘束力のあるテイクダウンを提供することを確認します。
• エンドポイント検出および対応（EDR）の導入: EDRソリューションを利用して、初期侵害が発生した場合でも、不正アクセス試行、異常なプロセス実行、データ持ち出しなど、エンドポイント上の疑わしいアクティビティを監視します。
• 脅威インテリジェンスの活用: リアルタイムの脅威インテリジェンスフィードをセキュリティ運用に統合し、出現するPaaSキット、その戦術、技術、手順（TTP）、および侵害の痕跡（IoC）について常に情報を入手します。これにより、先制的なブロックおよび検出ルールが可能になります。
• セキュリティ制御の定期的な監査とテスト: 既存のセキュリティ制御の有効性を、既知および出現するフィッシング技術に対して定期的にレビューおよびテストします。これには、ユーザーの感受性と制御の有効性を測定するために、内部でフィッシング攻撃をシミュレートすることが含まれます。

現代の攻撃的テストがこれをどのように検出できたか

従来のセキュリティ監査は、高度なPaaSキットによって悪用される微妙な脆弱性を特定するのにしばしば不十分です。ここで、現代の攻撃的テスト、特に実行可能な概念実証（PoC）を用いた自律的な攻撃的テストが不可欠になります。脅威インテリジェンスと自律的な攻撃的テストを組み合わせた当社のプラットフォームは、高度なフィッシング運用によって実行されるような攻撃に対する組織の脆弱性に関する重要な洞察を提供できたでしょう。

デバイスコードフィッシング攻撃の場合、自律的な攻撃的テストは攻撃者の方法論をシミュレートします。デバイスコードフローを開始し、従業員をターゲットにした説得力のあるフィッシングの誘い文句を作成し、組織のセキュリティ制御（メールゲートウェイ、ウェブフィルター、EDR）と従業員がどのように反応するかを監視します。実行可能なPoCは、実際の侵害なしに、最初のソーシャルエンジニアリングから潜在的なセッションハイジャックまで、攻撃者が取る正確なステップを実演します。

この種のテストは、単なる脆弱性スキャンを超えています。MFA設定、ユーザー意識向上トレーニング、およびインシデント対応プレイブックの有効性を、現実世界の攻撃チェーンに対して検証します。たとえば、システムが既存の制御をバイパスし、受信トレイの侵害につながる可能性のあるデバイスコードフィッシング攻撃を正常にシミュレートできる場合、それは実行可能なPoCを提供します。このPoCは脆弱性を明確に示し、セキュリティチームが防御がどこで失敗したか（メールフィルター、ユーザーの警戒心、MFA強制のギャップのいずれであるか）を正確に特定できるようにします。脅威インテリジェンスコンポーネントは、これらのシミュレーションが最新の攻撃者TTPに基づいていることを保証し、ソーシャルメディアの誘い文句や特定の技術的バイパスのような現在の脅威を反映します。

次に注目すべきこと

PaaSキットの進化は減速の兆候を見せていません。防御者はいくつかの主要なトレンドを予測する必要があります。第一に、生体認証MFAやパスキーを含む高度な認証メカニズムを、ますます洗練されたソーシャルエンジニアリングや技術的欠陥を通じてバイパスすることに焦点が当たるでしょう。パスキーは強力なフィッシング耐性を提供しますが、完全に実装されていなければ、攻撃者は新しいベクトルを模索するでしょう。

第二に、PaaSキットへのAIと機械学習の統合は加速するでしょう。これは、より動的でパーソナライズされたフィッシングの誘い文句、AI生成のディープフェイク音声またはビデオフィッシング、および高価値ターゲットをより効率的に特定する自動化された偵察として現れる可能性があります。攻撃コンテンツの洗練度は大幅に向上するでしょう。

最後に、法執行機関の取り締まりと新しいPaaS運用の出現との間のいたちごっこは続くでしょう。組織は、取り締まりが個々のサービスを破壊する一方で、根本的なエコシステムはレジリエントであることを認識する必要があります。これは、過去の事件に単に反応するのではなく、出現するTTPに継続的に適応する、先制的な脅威インテリジェンス駆動の防御態勢への移行を必要とします。攻撃者の考え方を理解し、進化するプレイブックに対して防御をテストすることに重点を置く必要があります。