社内ITを装う電話で役員層を標的に――Microsoft 365のトークン窃取とデータ恐喝攻撃の手口が判明

要点

• セキュリティ企業のArctic Wolfは、企業の役員層を標的にMicrosoft 365などのSaaSからデータを窃取して金銭を要求する脅威クラスタ「PREY-0058」の活動詳細を公表した。
• 攻撃者はITヘルプデスクを装う電話（ビッシング）で偽の認証ページへ誘導し、中間者攻撃（AitM）により多要素認証（MFA）を突破してセッショントークンを詐取する。
• 端末へのマルウェア感染は行わず、被害者と同じ地域やプロバイダに偽装したプロキシ経由でSharePointやOneDrive、Boxなどからデータを大量流出させていた。
• 標的は米国の金融やヘルスケアなど広範な業界に及び、Google傘下のMandiantが追跡する「UNC6671」など複数の恐喝グループとの手口の類似性も報告されている。

ヘルプデスクを騙る電話と中間者攻撃による認証情報の窃取

セキュリティ企業のArctic Wolfは2026年9月7日、企業の幹部職員を狙ってMicrosoft 365をはじめとするSaaS（クラウド経由で提供されるソフトウェア機能）のアカウントを侵害し、機密データの窃取と金銭要求を行うサイバー攻撃の手口を明らかにした。この攻撃活動は「PREY-0058」という識別名で追跡されており、主に取締役や副社長といった役員クラスが標的になっているという。

攻撃の起点は、社内のIT部門やヘルプデスクの担当者になりすました攻撃者からの電話連絡（ビッシング：音声通話を用いた詐欺手法）である。攻撃者は電話口でターゲットを誘導し、「組織名.おとりドメイン」という形式で作成された偽の認証用Webサイトへアクセスするよう指示する。Arctic Wolfが確認したおとりドメインには、「assignpasskey[.]com」「mfaregister[.]com」「nowsso[.]com」「oskeysetup[.]com」「oursso[.]com」「passkey-mfa[.]com」「passkeydeploy[.]com」「registermymfa[.]com」「setpasskey[.]com」といった、パスキーやシングルサインオン（SSO）、多要素認証（MFA）の設定を連想させる文字列が使われていた。

ターゲットが誘導先のページでログインを試みると、攻撃者が制御するAitM（Adversary-in-the-Middle：通信の間に割り込んで情報を傍受する中間者攻撃）型の仕組みによって、入力されたIDやパスワードだけでなく、MFAの承認処理までリアルタイムに取得される。これにより、攻撃者は正規のログイン完了後に発行される有効なセッショントークン（ログイン状態を維持するための認証データ）を直接手に入れる構造になっている。

マルウェアを使わないクラウド探索と広範なデータ持ち出し

セッショントークンを入手した攻撃者は、「NodeMaven」などの住宅用プロキシ（一般家庭の回線を経由させる中継サーバー）サービスを利用してクラウド環境へ侵入する。この際、被害者と同じ地理的地域およびASN（自律システム番号：インターネット上のネットワーク識別番号）に解決されるIPアドレスから接続することで、セキュリティ監視による不審なアクセスの検知を回避するセッションリプレイ攻撃を行っていた。

Arctic Wolfのリサーチャーであるスティーブン・キャンベル氏、トレバー・ダーハー氏、ステファン・ホステトラー氏、ジョシュア・リッチオ氏らの分析によると、攻撃者は侵入後、まず「My Signins」「My Profile」「My Apps」といった標準的な管理機能へアクセスし、アカウントの詳細や被害者が利用可能なアプリケーションの範囲を確認するという。

続いて、クラウドID管理基盤であるEntra ID（旧Azure AD）やSharePointに対する探索活動を開始する。SharePointの探索では、サイトやWebページを網羅的に検索する「contentclass:STS_Site」「contentclass:STS_Web」といったイベントや、文書IDを用いたワイルドカード検索によるページ送りを駆使して、保管されている情報を特定していく。

最終段階として、SharePoint、OneDrive、Exchange（メール機能）、さらにはBoxから大量のデータを一括で収集・流出させ、その後に被害企業へ金銭を要求する恐喝メッセージを送りつける。この一連のプロセスにおいて、端末へのマルウェアの配置や、社内ネットワークを介した横展開（ラテラルムーブメント）が一切行われていない点が、PREY-0058の際立った特徴として挙げられている。

標的の業種と複数グループによるインフラ共有の実態

調査では、攻撃インフラとして用意されたサブドメインから、実在する企業を偽装した数百件ものエントリが発見された。被害の対象は米国の広範な地域に広がっており、建設・エンジニアリング、ヘルスケア・製薬、不動産・資産管理、金融、プロフェッショナルサービスといった多様な業界に及んでいる。

また、Arctic Wolfはこの手口について、Google傘下のMandiantが「UNC6671」と呼ぶデータ恐喝グループと顕著な類似性があると指摘している。さらに、「Cinder」として知られるデータ恐喝アクターについても、流出サイトに掲載された組織の重複状況から、過去の「Pink」の作戦がリブランドされたもの、あるいはその継続である可能性が高いと分析している。

ただし、これらのグループ名やラベルは単一の確定した組織を指すものではないという。Googleが2026年8月初旬に指摘したとおり、共通のフィッシング基盤を利用するアフィリエイト（提携者）や分派グループ、あるいは同一インフラを共有する集団の集合体とみられている。

防御策と不審な兆候の検知

Arctic Wolfは、こうした攻撃への対策として、アクセス時の条件を厳格に評価する「条件付きアクセスポリシー」の実装や、中間者攻撃に耐性のある「フィッシング耐性MFA」の導入を推奨している。加えて、SharePoint上で各ユーザーがアクセスできるデータの範囲を制限することや、従業員およびヘルプデスク担当者に対してビッシングの危険性に関する教育を実施することが有効だと説明している。

防御側の検知手法としては、住宅用プロキシを経由した異常なトークンの再利用をはじめ、SharePointにおける探索行為や一括アクセス、メールボックスの大量収集、そして認証偽装のために新規登録されたルアーインフラの監視などを通じて、攻撃の兆候を捉えることが可能であるとArctic Wolfは述べている。