電話と偽の登録サイトでMicrosoft 365のアクセス権を奪う「偽パスキー登録」攻撃が活発化

要点

• 脅威アクター「O-UNC-066」が、Microsoft 365のユーザーを狙い、音声フィッシングと偽のMicrosoft Entraパスキー登録プロセスを組み合わせた攻撃を展開している。

• 攻撃者は「passkey」という文言を含むドメインを登録した上で被害者に電話をかけ、パスキーの新規登録が必要であると誤認させて偽サイトへ誘導する。

• 使用されるフィッシングキットはオペレーターがリアルタイムで制御するPHPパネルであり、被害者のMFA（多要素認証）要件に合わせて動的に表示を変化させる。

• 被害者がダミーのリカバリーキー確認手順などで時間を取られている間に、攻撃者は被害者のアカウントに対して攻撃者自身のパスキーを登録し、永続的な不正アクセス権を獲得する。

• この手口は、Microsoftが管理者向けにパスキー移行を促す「登録キャンペーン」機能を提供したタイミングと重なっており、セキュリティの強化プロセスが悪用された形となっている。

• セキュリティ企業のOktaは、Microsoft 365のユーザーを標的とした新たなフィッシング攻撃を確認したと報告した。この攻撃は「O-UNC-066」と追跡されている脅威アクターによるもので、音声によるフィッシング（音声フィッシング、vishing）と、Microsoft Entraのパスキー登録プロセスを精巧に模倣した偽のWebサイトを組み合わせた手口を用いている。攻撃の主な目的は被害者のアカウントへの不正アクセスおよびデータ恐喝（エクストーション）であり、食品・飲料、テクノロジー、ヘルスケア、自動車、建設、航空など、多岐にわたる業界の組織が標的にされているという。

• Oktaの調査員であるフセム・エディン・ボルジバ（Houssem Eddine Bordjiba）氏によると、攻撃者は「passkey」という単語を含むドメインを事前に登録し、ターゲットとなるユーザーに電話をかける。そして、システムへのアクセスを維持するために新しいパスキーの登録手続きが必要であるとユーザーを説得し、用意したフィッシングサイトへ誘導する。

• この攻撃で使用されているフィッシングキットは、一般的な資格情報やMFA（多要素認証）トークンを機械的に盗み取るための中間者（AitM：Adversary-in-the-Middle）攻撃用のランディングページとは異なる特徴を持っている。攻撃の裏側にはオペレーターが控えており、PHPで作成された管理用パネルを通じて、接続している被害者のMFA状況（SMSによるワンタイムパスワード、認証アプリによる時間制OTP、数値一致を使用するプッシュ通知など）に応じて、リアルタイムで画面遷移や通知内容を制御する。これにより、被害者の組織が要求するセキュリティ設定に合わせた自然なログインフローを擬似的に作り出している。

• Oktaが明らかにした具体的な攻撃の流れは以下の通りである。

• まず、被害者がフィッシングサイトの最初のページ（/gate）にアクセスすると、バックグラウンドでセキュリティ分析ツールなどを回避するためのアンチ分析チェックが実行され、画面には読み込み中のアイコンが表示される。次に、ユーザー名の入力を求めるページ（/identify）と、パスワードの入力を求めるページ（/password）が順に表示される。

• ユーザーが入力した認証情報は、POSTリクエストによって攻撃者の管理パネル（/backend.php）へと即座に送信される。この段階で、電話をかけている人物とは別である可能性のあるオペレーターが、盗み取った認証情報を用いて本物のMicrosoftサインインページへのログイン操作を開始する。

• 被害者の画面には「処理中」を示すページ（/processing）が表示され、オペレーターが本物のMicrosoft側で直面したMFAチャレンジの種類に応じた指示を出すのを待つ状態になる。その後、オペレーターの操作によって、被害者の画面にはそれぞれの認証方式に合致したページが表示される。具体的には、SMSベースのワンタイムパスワード（OTP）入力を求める /submit-otp、認証アプリによる時間制OTP入力を求める /submit-authenticator、あるいはプッシュ通知の承認を促す /approve-authenticator などである。被害者がこれらの認証情報を入力または承認すると、そのデータも管理パネルに送信され、オペレーターによる本物のアカウントへのログインが完了する。

• ログインが成立すると、攻撃は次のステップである「パスキーの登録」へと移行する。被害者はパスキーの作成を指示するページ（/passkey/register）にリダイレクトされ、Microsoftのブランドロゴが表示された /passkey ページで、パスキーを確認するための「回復キー（リカバリーキー）」の保存を求められる。さらに、/passkey/check ページにおいて、提示されたリカバリーキーの最後の単語を検証するように求められる。

• このリカバリーキーは、暗号資産のウォレットなどで使われる12語のシードフレーズ（ニーモニックフレーズ）に似た形式をしており、被害者をこのダミーの確認作業に集中させて時間を稼ぐための目くらましとして機能している。被害者が偽サイト上で回復キーの確認に追われている間に、攻撃者は先ほどログインに成功した本物のMicrosoft 365アカウントに対して、攻撃者自身が保有するデバイスのパスキーを新規登録する。最後に、登録が成功したことを示す /done ページが表示されて一連のセッションは終了する。

• この攻撃の活発化は、Microsoftが管理者向けに、サインイン時にユーザーに対してパスキーの登録を促す「登録キャンペーン（registration campaigns）」機能の一般提供を開始した時期と重なっている。パスキーは本来、フィッシングに強い強固な認証手段として普及が進められているが、その移行期におけるユーザーの不慣れな登録作業を逆手に取った欺瞞手口が用いられている。また、現在のところ、このフィッシングキットがOktaなどのサードパーティ製アイデンティティプロバイダー（IdP）へユーザーをリダイレクトしている兆候は確認されていない。