フィッシング支援サービス「Greatness」が進化、MFAを突破するデバイスコードフィッシング機能を追加

要点

• フィッシング支援サービス（PhaaS）の「Greatness」が、多要素認証（MFA）を回避する「デバイスコードフィッシング」機能を追加したことが判明しました。

• この機能は、正規の「OAuth 2.0 デバイス認可グラント」という規格を悪用し、被害者に気づかれることなくアクセス権限を示すトークンを盗み取ります。

• サービスの利用料金は月額289ドルからに値上がりしており、Telegramを通じてサイバー犯罪者向けに広く販売されています。

• 攻撃者は、おとり用のメールテンプレートやアクセス解析回避機能を備えた専用の管理画面を利用でき、攻撃の参入障壁がさらに低くなっています。

• セキュリティ企業のZeroBECは2026年8月4日、フィッシング支援サービス（PhaaS）「Greatness」の最新機能に関するレポートを公開した。これによると、同サービスには多要素認証（MFA）を回避してユーザーアカウントを乗っ取るための「デバイスコードフィッシング」機能が新たに追加されたという。Greatnessは、サイバー犯罪者がフィッシング攻撃を容易に行えるようパッケージ化して提供する有料サービスで、今回のアップデートにより攻撃の脅威がさらに高まっている。

悪用される正規の認証仕様

今回追加された「デバイスコードフィッシング」は、スマートTVやIoT機器のようにWebブラウザを搭載しない端末でログインを行うための仕組みである「OAuth 2.0 デバイス認可グラント（デバイス認可フロー）」を悪用した攻撃手法である。この手法により、攻撃者はユーザーの操作を必要とせず、アカウントのアクセス権限を示すトークンをひそかに取得し、多要素認証（MFA：複数の要素で本人確認を行う手法）が設定されたアカウントの保護をバイパスして乗っ取ることが可能になるという。

ZeroBECのレポートによると、Greatnessは同一の管理者用パネルと共有インフラから、中間者攻撃（AiTM：通信を中継して情報を盗み取る手法）によるログイン情報やトークンの窃取、デバイスコードフィッシング、OAuth同意の悪用をすべて実行できる。また、標的はMicrosoft 365のほか、iCloud、Yahoo、Google Workspaceへと拡大している。

Telegramを拠点とする販売モデルと値上がり

Greatnessは、サイバー犯罪の参入障壁を下げるために設計された「PhaaS（フィッシング・アズ・ア・サービス：フィッシングインフラを有料提供する仕組み）」である。Ciscoのセキュリティ部門であるCisco Talosによって2023年5月に初めて詳細が公開され、少なくとも2022年中頃からMicrosoft 365のビジネスユーザーを狙う攻撃で使われてきた。

同サービスは、3,250人以上の登録者を抱える公開Telegramチャンネル（@GreatnessPage）を情報共有の拠点としている。料金は2024年1月時点の月額120ドルから値上げされ、現在は月額289ドルからのサブスクリプション制だ。登録やサポートは専用のTelegramボット（@gr8managerbot）を通じて行われ、ライセンス更新は運営者アカウント「@greatnessmgr」へ連絡する形式となっている。

また運営者は2025年11月の投稿で、奪取したクッキー（Webサイトのログイン状態を記録する一時データ）はワンウェイハッシュ（復元不可能な暗号技術）で保護されると説明。利用者が自身のTelegramアカウントでログインして2要素認証（2FA）コードを入力したときのみトークンが作成されるため、第三者はログにアクセスできないと主張している。

高度化する管理パネルとおとり用テンプレート

購読者は、自身のTelegramチャットIDとボットAPIトークンを提供し、9文字のライセンスキーでログインすると、専用ドメイン「api-[token].[base-domain]」の管理パネルにアクセス可能となる。

ダッシュボードでは、収集したクッキーの統計や被害者のヒートマップが確認できる。フィッシングドメイン、CAPTCHA（人間とプログラムを判別する認証テスト）のタイプ、背景テーマ、クッキー保存方法の設定も可能だ。

さらに、ボイスメールやOneDrive、QR、ビデオプレーヤーなど11種類以上のおとりテンプレートがZIP形式で提供される。「AudioLogin」「ChatAssistance」「WindowsExplorer」などのテンプレートにはHTMLやPDFが同梱され、攻撃者がおとりを一から自作する必要をなくしている。

5段階のリダイレクトによる巧妙な誘導

被害者が攻撃用メールのリンクをクリックすると、5段階のリダイレクト（強制的なページ遷移）チェーンが作動する。ここには専門家の解析を妨害する保護、ブラウザを特定するフィンガープリンティング、CAPTCHAゲートが組み込まれている。

被害者はこれらを経由した後、最終的に中間者プロキシやデバイスコードの入力画面へ誘導され、アカウント制御権を奪われる仕組みだ。

補足

デバイスコードフィッシングは、従来のMFAを無効化する手法として近年急速に増加しているサイバー脅威である。元記事によれば、攻撃者が正規の認証フローを利用することでユーザーに違和感を与えず、かつ容易にトークンを窃取できる点が特徴とされる。