「0ktapus」脅威グループの触手が130社を被害

プラトン再発行

フォロワー： 0

130 を超える企業が、多要素認証システムを偽装する広範なフィッシングキャンペーンに巻き込まれました。

Twilio と Cloudflare の従業員に対する標的型攻撃は、9,931 を超える組織で 130 のアカウントが侵害された大規模なフィッシングキャンペーンに関連しています。このキャンペーンは、研究者による 0ktapus という名前の脅威アクターを獲得した ID およびアクセス管理会社 Okta の集中的な悪用に関連しています。

「脅威アクターの主な目的は、標的となった組織のユーザーから Okta ID クレデンシャルと多要素認証 (MFA) コードを取得することでした」と Group-IB の研究者は書いています。最近のレポートで. 「これらのユーザーは、組織の Okta 認証ページを模倣したフィッシングサイトへのリンクを含むテキストメッセージを受信しました。」

影響を受けたのは米国を拠点とする 114 の企業で、さらに 68 か国に被害が広がっています。

Group-IB の上級脅威インテリジェンスアナリストである Roberto Martinez 氏は、攻撃の範囲はまだ不明であると述べています。「0ktapus キャンペーンは信じられないほどの成功を収めており、その全体像はしばらく知られていないかもしれません」と彼は言いました。

0ktapus ハッカーが求めていたもの

0ktapus の攻撃者は、潜在的なターゲットの電話番号へのアクセスを獲得することを期待して、電気通信会社をターゲットにしてキャンペーンを開始したと考えられています。

攻撃者が MFA 関連の攻撃で使用された電話番号のリストをどのように入手したかは正確にはわかりませんが、研究者が推測する 0 つの理論は、XNUMXktapus 攻撃者が通信会社を標的としたキャンペーンを開始したというものです。

「Group-IB によって分析された侵害されたデータによると、攻撃者は携帯電話会社と電気通信会社を標的にして攻撃を開始し、それらの最初の攻撃から数値を収集できた可能性があります」と研究者は書いています。

次に、攻撃者はテキストメッセージを介して標的にフィッシングリンクを送信しました。これらのリンクは、ターゲットの雇用主が使用する Okta 認証ページを模倣した Web ページにつながりました。次に、被害者は、従業員がログインを保護するために使用した多要素認証 (MFA) コードに加えて、Okta の ID 資格情報を提出するよう求められました。

付随してテクニカルブログ、Group-IBの研究者は、ほとんどがサービスとしてのソフトウェア企業の最初の侵害は、多面的な攻撃のフェーズ0であったと説明しています. XNUMXktapus の最終的な目標は、企業のメーリングリストや顧客向けシステムにアクセスして、サプライチェーンへの攻撃を助長することでした。

関連する可能性のあるインシデントとして、Group-IB が先週後半にレポートを公開してから数時間以内に、会社 DoorDash は、0ktapus スタイルの攻撃のすべての特徴を備えた攻撃の標的にされたことを明らかにしました。

爆発範囲: MFA 攻撃

でブログ投稿 DoorDashが明らかにしました。「権限のない者が、盗んだベンダーの従業員の資格情報を使用して、社内ツールの一部にアクセスしました。」投稿によると、攻撃者は顧客や配達員から名前、電話番号、電子メール、配達先住所などの個人情報を盗み続けました。

Group-IB の報告によると、攻撃者はキャンペーンの過程で 5,441 の MFA コードを侵害しました。

「MFA などのセキュリティ対策は安全に見えるかもしれませんが、攻撃者が比較的単純なツールでそれらを克服できることは明らかです」と研究者は書いています。

KnowBe4 のデータ駆動型防御エバンジェリストである Roger Grimes 氏は、電子メールでの声明で次のように述べています。「簡単にフィッシングできるパスワードから、簡単にフィッシングできる MFA にユーザーを移動させることは、まったく役に立ちません。何の利益も得られないのは、大変な労力、リソース、時間、そしてお金です。」

0ktapus 型のキャンペーンを緩和するために、研究者は URL とパスワードの適切な衛生管理を推奨し、 FIDO2に準拠した MFA 用のセキュリティキー。

「どのような MFA を使用する場合でも、ユーザーは、MFA の形式に対して実行される一般的な種類の攻撃、それらの攻撃の認識方法、および対応方法について教育を受ける必要があります。ユーザーにパスワードを選択するように指示するときは同じことを行いますが、より安全であると思われる MFA を使用するように指示するときは行いません。」