ビッシングに注意！私用携帯にかかる「IT担当者」からの電話

Googleの脅威インテリジェンスグループ（GTIG）は、ヘッジファンドや金融機関を標的としたボイスフィッシング（ビッシング）キャンペーンを追跡しています。リサーチャーは、この攻撃を、かつて「BlackFile」として知られていた恐喝グループ「UNC6671」によるものと分析しています。攻撃者は社内のIT担当部署を装って従業員に電話をかけ、緊急で行わなければいけないマイグレーション作業があると伝えます。

リサーチャーは次のように述べています。「攻撃者は、こうした電話を通じて、被害者を偽のログインポータルへ誘導します。そこではAiTM（Adversary-in-the-Middle）のインフラが、認証情報と多要素認証（MFA）のトークンを傍受します。セッションを継続的に維持できる状態が確立されると、攻撃者は自動化されたスクリプトを展開し、Microsoft 365やOktaを含む企業のクラウド環境からデータを窃取します。」

特に注目すべきは、攻撃者が従業員の個人の携帯電話に直接電話をかけ、ビッシングを仕掛けている点です。

リサーチャーは次のように説明しています。「UNC6671は、標的とした従業員の個人の携帯番号に電話をかけ続けており、企業側のセキュリティ対策を回避しています。少なくとも直近の一部の事例では、攻撃者は正規のヘルプデスクの電話番号を偽装し、正当性があるように装っていました。通話の中では、FIDO2パスキーの有効化や多要素認証の再登録がヘルプデスクからの緊急の指示であるかのように偽り、認証情報を窃取するためのよく似たサブドメインへ従業員を誘導します。」

フィッシングサイトの多くは、認証登録ポータルになりすますことで、ユーザーに認証情報と多要素認証コードを入力させるよう設計されています。

GTIGは次のように述べています。「UNC6671によるドメイン登録の傾向からは、標的の選定が定期的に変化しており、より機密情報を保有している可能性が高い組織へと狙いを変えていることがうかがえます。UNC6671は、標的候補となる企業名を組み込んだサブドメインを用意し、その企業に合わせて作り込んだ認証情報窃取用のページを設置します。ルートドメインは企業の認証登録ポータルを模したもので、『passkey』『mfa』『sso』といった単語と動詞を組み合わせています。2026年4月から5月にかけては、製造、不動産、医療、保険など複数の業界にわたり、大規模企業を広く標的とするドメインが確認されました。この一連の活動において、攻撃者はこうした業種を対象に、大量の認証情報を収集することを優先していたと考えられます。」

KnowBe4は、従業員一人ひとりが日々の業務において、より的確なセキュリティ判断を下せるよう支援します。現在、世界で7万社を超える組織がKnowBe4のHRM+プラットフォームを信頼し、セキュリティ文化の醸成とヒューマンリスクの低減を実現しています。

詳細については、Googleの記事をご参照ください。