このキャンペーンでは、20,000ものドメインを利用して、ブランドを偽装し、無防備なユーザーから認証情報を盗み取ります。すでに、航空会社から公共事業に至るまで、100か国以上の様々な分野のユーザーが被害に遭っています。

200のテンプレートを提供する高度なフィッシングキット

Darculaのフィッシングキットは非常に高度で、攻撃者に200の高品質なフィッシングテンプレートへのアクセスを提供します。これらのテンプレートは、標的となる企業のブランディングを正確に模倣しています。

これらの説得力のあるランディングページにより、ユーザーは正規のWebサイトと悪意のあるWebサイトを区別することが難しくなり、フィッシング攻撃の成功率が高くなります。

iMessageとRich Communication Services（RCS）の悪用

このキャンペーンの特徴の1つは、フィッシングメッセージの配信にiMessageとRich Communication Services（RCS）を利用していることです。従来のSMSの代わりにこれらのプラットフォームを利用することで、攻撃者はSMSファイアウォールをバイパスし、不審なメッセージの検知を回避することができます。

Appleのセキュリティ企業Jamfのポートフォリオ戦略担当バイスプレジデントであるMichael Covington氏は、このアプローチに驚きはないと指摘しています。RCSはユーザーに広く信頼されているため、ハッカーにとって魅力的な攻撃ベクトルになっていると指摘しています。

RCSのメリットとリスク

RCSは従来のSMSと比較していくつかの利点があります。

• 1回の送信で多くの文字数をサポート
• 開封確認、タイピングインジケータ、高解像度メディアなどの最新の機能強化
• より安全でプライベートなメッセージング体験のためのエンドツーエンドの暗号化

しかし、攻撃者がiMessageやWhatsAppなどの最新のメッセージングプラットフォームを悪用してフィッシングキャンペーンを展開するにつれ、RCSも攻撃対象のリストに追加されました。ユーザーがこれらの暗号化されたサービスに置く固有の信頼性が、ソーシャルエンジニアリング攻撃に対して特に脆弱になっています。

フィッシング攻撃に対する警戒を怠らない

使用しているメッセージングプロトコルやサービスに関係なく、ユーザーは警戒を怠らず、潜在的なソーシャルエンジニアリング攻撃を見抜く準備をしておく必要があります。ハッカーが絶えず技術を進化させ、Darculaのようなフィッシングサービスの進歩を見ると、何も制限がないことは明らかです。

ユーザーは、認証情報などの機密情報を共有する前に、送信者、メッセージ内で使用されているブランド名、メッセージングプロトコル自体を疑問に思い、検証する必要があります。情報に通じ、注意を怠らないことで、ユーザーはますます高度化するフィッシングキャンペーンから身を守ることができます。

ユーザー教育と意識向上の重要性

フィッシング攻撃がより複雑になり、標的を絞ったものになるにつれ、組織がユーザー教育と意識向上を優先することが重要になります。定期的なトレーニングセッションと模擬フィッシング演習を行うことで、従業員は不審なメッセージを認識し、報告することができるようになり、フィッシング攻撃の成功率を下げることができます。

さらに、多要素認証などのセキュリティ対策を実施することで、ユーザーがうっかりフィッシング詐欺の被害に遭った場合でも、追加の保護層を提供することができます。

(Via Apple World Today.)

INDEX

• はじめに
• 攻撃のメカニズム
• 個人情報の活用
• パスワードリセットページの悪用
• バグとレートリミットバイパスの疑い
• 保護対策

はじめに

Appleのパスワードリセットシステムの欠陥を悪用し、Appleユーザーを標的にした高度なフィッシング攻撃が新たに発生しています。

KrebsOnSecurityのレポートによると、攻撃者は被害者に執拗な通知や多要素認証（MFA）メッセージを送りつけ、Apple IDのパスワード変更をうっかり承認するよう迫っているとのことです。

攻撃のメカニズム

• 脆弱性の悪用： 攻撃者は、Appleのパスワードリセット機能のバグを利用し、ターゲットのiPhone、Apple Watch、またはMac上でシステムレベルのパスワード変更承認プロンプトを絶え間なく表示させることを可能にしているようです。
• 被害者を圧倒： この絶え間ない通知により、リンクされているすべてのデバイスで各プロンプトが個別に解除されるまで、ユーザーのデバイスは事実上使用できなくなります。被害者の中には、このような通知を100回以上受け取ったという報告もあります。
• ソーシャルエンジニアリングの手口： 被害者がパスワードの変更を承認しない場合、攻撃者はAppleのサポートになりすまして電話をかけてきます。攻撃者は、現在進行中の攻撃に気づいていると主張し、パスワードのリセットプロセス中に電話番号に送信されたワンタイムパスワードをユーザーに漏らそうとします。

個人情報の活用

攻撃者は、人名検索サイトから流出した被害者の氏名、現在および過去の住所、電話番号などの個人情報を利用していることが確認されています。このような豊富な情報は、ソーシャル・エンジニアリング活動の信頼性を高めます。

しかし、不正確な名前や、Appleが共有しないよう明確に警告しているワンタイムコードの要求など、攻撃者の知識に矛盾があるため、一部の標的はこうしたやりとりの詐欺的性質を見分けることができました。

パスワードリセットページの悪用

KrebsOnSecurityの調査によると、攻撃者はAppleのApple IDパスワード忘れページを悪用しているようです。このページでは、ユーザーのApple IDのEメールまたは電話番号が必要とされ、CAPTCHAが含まれています。

メールアドレスが入力されると、ページには関連する電話番号の下2桁が表示されます。不足している数字を入力してフォームを送信することで、攻撃者はシステムアラートをトリガーすることができます。

バグとレートリミットバイパスの疑い

攻撃者が複数のメッセージを送信するために使用した正確な方法はまだ不明ですが、積極的に悪用されているバグに起因しているようです。Appleのシステムは100を超えるリクエストを許可するように設計されているとは考えにくいため、攻撃者はレート制限をバイパスする方法を見つけたと考えられます。

保護対策

このフィッシング攻撃の標的となっているApple製デバイスをお持ちの方は、以下のガイドラインに従ってください：

1. すべてのプロンプトで「許可しない」をタップして、すべてのパスワード変更要求を拒否してください。
2. Appleがワンタイムパスワードリセットコードを要求する電話をかけることはありませんのでご注意ください。
3. Apple サポートを名乗る迷惑メールの真偽を確認してください。
4. 最新のフィッシングテクニックやソーシャルエンジニアリングの手口に対する警戒心を維持し、学習してください。

(Via MacRumors.)