Key Takeaways
- TrendAI Vision One™ Services – Managed Detection and Response（MDR）は、クラウドのみで完結するビジネスメール詐欺（BEC）を調査しました。攻撃者はスピアフィッシングメールで財務担当ユーザを狙い、AiTM（Adversary-in-the-Middle：中間者）フィッシングページで多要素認証（MFA）を回避し、有効なMicrosoft 365セッショントークンを乗っ取りました。
- この侵入には、マルウェアもエンドポイントの侵害も一切関与していません。初期侵入から詐欺行為そのものに至るまで、すべての段階が、商用VPNインフラから再利用（リプレイ）された窃取済みセッションCookieを用いて、Microsoft 365のID基盤に対して実行されました。
- 攻撃者は3つの不正な受信トレイルールを仕掛け、取引先からの督促メールや社内の確認メールを気づかれないよう自動的にアーカイブして既読にすることで、詐欺を被害者の目から隠しました。その裏で、信頼された取引先になりすまし、支払いを攻撃者管理下の銀行口座へ振り向けていました。
- 調査の決め手となったのは、エンドポイントのアラートではなく、IDテレメトリ（異常なセッショントークンの再利用と、海外IPアドレスからの受信トレイルール作成）でした。
BECは、財務・経理部門にとって、手口は単純ながら被害の大きい脅威であり続けています。サイバー攻撃の定番手法であるBECは、エンドポイントにほとんど痕跡を残しません。残るのは一見ごく普通のメールのやり取りだけで、最後には資金が誤った口座に渡っています。
TrendAI Vision One™ MDRチームは、完全にクラウド上で完結する現代型BECの典型例を調査しました。財務担当ユーザがスピアフィッシングメールを受信し、リンクをクリックしたことで、AiTMリレーが作動しました。本記事では、最初のクリックから根本原因まで、この攻撃をたどります。
攻撃の概要
図1は、最初のフィッシングメールから、AiTMによる認証情報の中継チェーン、VPN出口インフラからのセッショントークン再利用、不正な受信トレイルールによる隠蔽、そして最終的な取引先支払いの詐取に至るまでの侵入の流れを示しています。
スピアフィッシングメールへのわずか1回のクリックでAiTMリレーが作動し、ユーザのパスワードだけでなく、認証済みのMicrosoft 365セッションそのものが窃取され、MFAは無力化されました。以降、攻撃者は完全に本人になりすまして行動し、メールを閲覧し、隠れた受信トレイルールを作成し、組織の取引先を装って支払いを攻撃者の口座へ振り向けました。
ホストのフォレンジック調査により、侵害されたエンドポイントにはインフォスティーラーもリモートアクセスツールも存在せず、ラテラルムーブメントの形跡もないことが確認されました。攻撃者の活動は、IDとメールのレイヤーに限定されていました。
初期侵入：ワンクリックでセッションが窃取されるまで
スピアフィッシングメールは、人事部を装った「PTO Request Denied（有給休暇申請の却下）」という通知でした。標的の財務担当ユーザに合わせて氏名、役職、組織名が記載されており、この作り込みこそが、無差別型フィッシングではなくスピアフィッシングであることを示しています。攻撃者は、誰に宛てて書いているのかを正確に把握できるだけの事前調査を済ませていました。
メール内の行動を促すボタンには「View PTO Conflicting Dates（休暇の重複日程を確認）」と書かれていましたが、その実体はSendGridのクリック追跡リンクでした。攻撃者に必要だったのは、このボタンへのワンクリックだけです。クリックすると多段リダイレクトチェーンが起動し、最終的に偽のMicrosoft 365サインインページへ到達します。
送信ドメインとメール認証の分析
このメールは、SendGridを経由してcs@bitcrazy.comから送信されていました。受信トレイに届いたということは、SPF（Sender Policy Framework）、DKIM（DomainKeys Identified Mail）、DMARC（Domain-based Message Authentication, Reporting and Conformance）を通過したことを意味します。攻撃者は、bitcrazy.comがそのSendGridアカウントで正規に承認された送信ドメインであったことを悪用しました。
組織自身のメールドメインを偽装すればDMARCで検出されたはずです。そこで、このメッセージは表示名（friendly-From）の偽装によって社内の人事部を装いました。Fromヘッダには社内の人事メールボックスを模した「General Admin | Human Resources (human.resources@alerting-services.com)」と表示される一方、実際のヘッダおよびエンベロープ送信者はcs@bitcrazy.comのままでした。この不一致は、フィッシングの典型的な特徴です。
エンドポイントの履歴から再構築したURLリダイレクトチェーン
フィッシングメールとブラウザ履歴から、初期の攻撃チェーンが裏付けられました。クリック後の通信は、次の多段リダイレクトを経由していました。
u108265739.ct.sendgrid.net → mauthcopilot.com → portalmyadminsigninapps.experiencewithreliability.de/0xrcY/ → 偽のMicrosoft 365サインインページ
ユーザは気づかないままMFAプロンプトを承認してしまい、攻撃者は認証済みのセッショントークンを取得しました。窃取されたセッショントークンは商用VPNインフラから再利用され、攻撃者は本人として振る舞い、詐欺行為を進められるようになりました。
詐欺の展開：2つのフェーズで進む取引先支払い詐取型BEC
この詐欺は、時期の重なる2つのなりすましフェーズとして進行しました。各フェーズでは異なる「信頼された顔」が使われ、いずれも、不正な振込先変更を日常的な買掛金（AP）業務の一環に見せかけるよう設計されていました。両方を並行して実行することで、同じ口座変更の依頼が組織の外側と内側の双方から届く形になり、それぞれの依頼がもう一方を裏付けているように見えました。
一連の攻撃は、1日目の最初のフィッシングから、30日目に観測された攻撃者の最後の行動まで、30日間に及びました。その大半は、2日目から24日目にかけての詐欺メールのやり取りに費やされています。ただし、攻撃者はその後もメールボックスとSharePointへのアクセスを続け、さらにもう1つの隠蔽ルールを仕掛けていました。
フェーズ1：取引先へのなりすまし（無料Webメール）
差出人： 取引先の買掛金担当者を装った、攻撃者管理下の無料Webメールアカウント
宛先： 被害組織の買掛金業務用共有メールボックス
期間： 2日目から22日目まで
第1フェーズは、組織の買掛金業務用共有メールボックスを標的とした、時間をかけた取引先なりすまし活動でした。このメールボックスは、取引先からの請求書、送金に関する問い合わせ、口座情報の変更依頼を正規に処理していたため、攻撃者は通常の業務連絡に紛れ込むだけで済みました。
無料Webメールアカウントから取引先の買掛金担当者を装った攻撃者は、まず実在する未払い請求書約20件の受領確認という日常的な依頼から入り、すぐに信頼を確立しました。その後、話題は紙の小切手からACH（Automated Clearing House：自動決済システム）による支払いへの切り替え依頼へと移ります。被害組織の標準手続きに従い、AP担当チームはACH承認フォームと最新のW-9の提出を求めましたが、攻撃者は不正な口座情報を裏付けるため、その両方を提出しました。
その後の3週間、11回に及ぶメールのやり取りを通じて、攻撃者は着実にフォローアップを重ね、最終的に取引先への支払い指示は攻撃者管理下の銀行口座へ変更されました。
最初のやり取りから数日のうちに、「通常とは異なる移動（atypical travel）」の異常が記録されていました。これが後に、調査の出発点となります。
詐欺が発覚しなかったのは、隠蔽工作があったためです。攻撃者は窃取したセッションを使い、未払いのままの取引先がいずれ督促メールを共有の買掛金業務用メールボックスへ送ってくることを見越して、該当するメッセージを自動的にアーカイブして既読にし、以降のルール処理を停止する受信トレイルールを作成しました。被害者が、本物の取引先からの督促を目にすることはありませんでした。
被害者のメールボックスに仕掛けられた2つ目のルールは、なりすましスレッドそのものを隠していました。調査の結果、その数分後にメールボックス監査ログへ「MoveToDeletedItems」「SoftDelete」「HardDelete」の操作が記録されていたことが判明しており、詐欺の発覚につながりかねないメールの証拠を攻撃者が消し去った動きと一致します。
フェーズ2：組織内部へのなりすまし（類似ドメイン）
差出人： 組織の買掛金業務の上席担当者を装った、攻撃者管理下の類似ドメイン
宛先： AP担当の経理スタッフ（標的）。なりすました上席担当者のアドレスをCCに設定
期間： 21日目から24日目まで
フェーズ2では、攻撃は新たな段階に入りました。21日目ごろ、攻撃者は不正な支払いを押し通すため、組織自身の買掛金業務の上席担当者になりすましました。
3つ目の隠蔽ルール
なりすましメールが一段落した数日後（29日目ごろ）、攻撃者は3つ目にして最後の隠蔽ルールを仕掛けました。今度は、社内からの追及を封じるためのものです。
このルールは財務担当ユーザのメールボックスに置かれ、社内の支払い切り替えに関する連絡、すなわち件名や本文でACH/Nachaの口座変更に言及している社内の財務・経理担当者からのメッセージを対象としていました。合致したメッセージは自動的にアーカイブへ移動され、既読になり、以降のルール処理から除外されます。ここでも、変更された振込先に関する社内からの疑問は、ユーザの目に触れる前に握りつぶされていました。
このルールは、同じ乗っ取り済みセッションの下で海外のVPN IPアドレスから作成されており、フェーズ1で外部の取引先スレッドを埋もれさせていた2つのルールを補完するものでした。攻撃者は、外部の取引先との確認と、社内での支払いに関する追及という、会話の両側を完全に掌握したことになります。
攻撃者の活動は、なりすましメールの終了後も続きました。最後に観測されたアクセスは30日目で、同じVPN IPアドレスからSharePointのリストおよびファイルに対する操作が記録されています。それ以降の活動は観測されていません。
MDRによる調査の進め方
調査を依頼されたMDRチームは、ホストのフォレンジック調査、メールおよびヘッダの分析、ID関連ログの相関分析を通じて、事案を根本原因までさかのぼりました。ホスト上では封じ込めを実施しましたが、マルウェアは見つかりませんでした。
通常とは異なる移動（atypical travel）
調査の結果、TrendAI Vision One™プラットフォームが、この財務担当ユーザについて「通常とは異なる移動」の異常を記録していたことが分かりました。この異常は、同一のMicrosoft 365セッションがアムステルダム（VPN IP 1）で認証され、その約1分後にロサンゼルス（VPN IP 2、M247の商用VPN出口）で認証されたことを示していました。オランダとカリフォルニアの間の移動は物理的に不可能な間隔であり、2つの拠点からの正規のユーザ操作ではなく、セッショントークンの再利用であることを示しています。
ただし、「通常とは異なる移動」の検知だけでは、アカウント侵害を断定するには不十分であり、さらなる検証が必要です。追加の調査では、当該アカウントに関連するその後のアクティビティに注目し、不審な後続の行動を特定する必要があります。
セッショントークンのアクティビティ
サインインのテレメトリから、セッショントークンが再利用されていたことが確認されました。すべてのサインインが単一要素で行われ、MFAは「Previously satisfied（以前に充足済み）」（トークン内のクレームにより充足）、トークン保護は「Unbound（バインドなし）」、条件付きアクセスは「Not Applied（未適用）」と記録されていました。攻撃者が認証済みのセッションCookieを再利用したため、新たなMFAチャレンジは発生しませんでした。通常であれば、新しいデバイスや場所からのサインインではMFAが要求されます。
アクセスされた対象
同一セッションをテナント全体で追跡したところ、攻撃者が被害ユーザとしてExchange Online、SharePoint、Microsoft 365検索にアクセスしていたことが分かりました。MFAで保護されているにもかかわらずサインイン失敗が皆無だったことは、認証情報の推測ではなくセッションハイジャックを示しています。セッションの発行元をたどると、ユーザがAiTMフィッシングページで認証した直後に発行されたものであることが確認できました。「通常とは異なる移動」のアラートは、AiTMによるセッション窃取の症状だったのです。
3つのデータソースの相関分析
チームは、TrendAI Vision One™のXDR Data Explorerアプリで関連テレメトリを検索し、製品名（pname）を軸に3つのデータソースを相関分析しました。これらのログは複数のソースのアクティビティを集約しており、関連イベントの特定、分類、抽出を効率的に行えます。
- Microsoft Entra ID：Entra IDのサインインアクティビティ
- Collaboration Sensor：Microsoft 365メールボックスの監査アクティビティ
- Cloud Email and Collaboration Protection：メールアクティビティ
その後、関連するシグナルを分析し、ユーザアカウント、IPアドレス、セッションアクティビティを突き合わせて、不審なパターンを特定しました。
表4に、この攻撃の各ステップに対応するシグナルと、それらを洗い出すために使用したクエリを示します。
MITRE ATT&CKへのマッピング
この侵入で観測された手口は、以下のとおりMITRE ATT&CK®にマッピングされます。各手口の詳細は、前述の各セクションで解説しています。
まとめ
今回のBEC攻撃は、今日の企業の境界が実際にはどこにあるのか、すなわち「信頼」と「ID」にあることをあらためて示す事例です。攻撃者は、認証済みのセッションを1つ盗むだけで、財務担当ユーザになりすまし、実際の資金の振込先を変えるために必要なすべてを手に入れました。
ここから得られる教訓は、認証を通過したことが正当性の証明にはならないこと、そして最初の兆候はエンドポイントではなくIDとメールボックスのレイヤーに現れることです。ホストのフォレンジック調査ではマルウェアもラテラルムーブメントも見つかりませんでした。エンドポイントに報告すべきものが何もなかったのはそのためです。この侵入を暴いたのは相関分析でした。メールボックス監査ログ、Entra IDのサインイン記録、メールアクティビティは、単体ではどれも目立ちませんが、組み合わせることで決定的な証拠になります。
推奨事項として挙げる3つの対策は、この攻撃が突いた隙、すなわちどの端末からでも再利用できてしまうセッショントークンと、メール以外の手段で一度も確認されなかった口座変更を塞ぐものです。
推奨事項
組織は、次の3つの対策によって、この種の攻撃パターンにさらされるリスクを低減できます。
- TrendAI Vision One™でエンドポイント、メール、IDのテレメトリを統合する。 今回の侵入はマルウェアの痕跡を一切残さず、重要な証拠はエンドポイントのブラウザ履歴、メールアクティビティ、Entra IDサインインログに分散していました。TrendAI Vision One™は、これらのシグナルを統合・相関分析して単一の攻撃タイムラインにまとめ、AiTMのリダイレクトチェーン、メールボックスへのアクセス、セッショントークンの再利用アクティビティを結び付けました。これにより、ばらばらだった兆候が確定的なインシデントとして裏付けられ、調査と対応が加速しました。
- Microsoft Entra IDの条件付きアクセスでトークン保護を有効にする。 これにより、各セッショントークンや更新トークンを、発行時のデバイスに暗号学的にバインドできます。そのデバイスから持ち出されたトークンは、他のマシンからは再利用できません。
- 取引先の口座変更に対する帯域外（メール以外の経路での）確認プロセスを必須にする。 ACHや口座情報の変更を承認する前に、二重承認と、事前に登録された信頼できる電話番号への折り返し確認を義務付けます。この対策は独立した検証ステップとして機能し、メールアカウントやユーザのIDが侵害された場合でも、支払いの詐取を防げます。
TrendAI Vision One™ Threat Intelligence Hub
TrendAI Vision One™ Threat Intelligence Hubは、新たな脅威や攻撃者に関する最新のインサイト、TrendAI™リサーチによる独自の戦略レポート、そしてTrendAI Vision One™プラットフォーム内のTrendAI Vision One™ Threat Intelligence Feedを提供します。
新たな脅威：
AiTM Session Theft Fuels Vendor Payment-Diversion BEC（AiTMによるセッション窃取が助長する取引先支払い詐取型BEC）
TrendAI Vision One™ Intelligence Reports（IoCスイーピング）：
AiTM Session Theft Fuels Vendor Payment-Diversion BEC（AiTMによるセッション窃取が助長する取引先支払い詐取型BEC）
TrendAI Vision One™をご利用のお客様は、この活動に関連する侵入の痕跡（IoC）を取得し、自社環境を遡って調査（スイーピング）できます。
参考記事：
How AiTM Phishing Bypassed MFA to Hijack a Microsoft 365 Mailbox in BEC Scheme
By: Jovit Samaniego
翻訳：与那城 務（Platform Marketing, Trend Micro™ Research）