私たちの日々の業務が大きく変化して早一年。リモートワークで使用するクラウドサービスを標的とした攻撃も多発しており、米国政府機関からは注意喚起を促す報告書が先ごろ公表された。報告書では推奨対応についても紹介されているため、今回はその内容について見ていく。
狙われるクラウドサービス
欧州各都市で外出制限が始まって早一年。この一年間での私たちのIT依存度の高さとそれに伴うリモートワークの推進は、これまでの5年間、いや10年間をも上回るぐらい急激な変化をもたらしたのではないだろうか。このリモートワークに必要不可欠な要素の一つが、クラウドサービスである。クラウドサービスの存在がリモートからの情報や意見の共有、コラボレーションを支えてくれている。
そして、クラウドサービスの利用者が増えれば、悪意ある者たちは当然のようにクラウドサービスを狙ったサイバー攻撃を仕掛けてくる。
2021年1月には米・国土安全保障省サイバーセキュリティー・インフラストラクチャー・セキュリティー庁（CISA）より、注意喚起を促す報告書（*1）が公表された。この報告書では、特定の悪意ある者に結び付けた事例が紹介されているわけではないが、多くの場面で同じような手法が用いられているという特徴がある。
*1 https://us-cert.cisa.gov/ncas/analysis-reports/ar21-013a
例えば、乗っ取ったアカウントを用いて社内の別のユーザーに対してフィッシング詐欺を仕掛けるという手口があるが、その前にまずはファイル共有サービスなどにもアクセスしそれ以外の情報にも不正アクセスされてしまっている。また、従業員がリモートワークでアクセスするように設定されているサーバーに対して、悪意ある者が不正アクセスを試みるといった事例も多く見られている。
これらのサイバー攻撃は広範囲に対して行われていることから、今回政府機関より注意喚起を促す報告書が公表されることとなった。
第二の標的
CISAが確認したサイバー攻撃の中には、フィッシング詐欺も多く発生している。
フィッシング詐欺行為では、クラウドサービスの資格情報（ログインするためのユーザーIDとパスワードなど）を収集するために、悪意あるリンクを含んだフィッシングメールを用いている。この悪意あるリンクは一見すると安全なメッセージを装っており、またファイル共有サービスなどのログイン画面のように見えるメール文章などもある。
万が一、標的となってしまったユーザーがここに資格情報を入力してしまうと、悪意ある者は、盗み出すことに成功した資格情報を用いてクラウドサービスへのログインを試みる。なかには、被害に遭った企業が存在する国とは異なる国からログインを企てている場合もある。しかしこれは悪意ある者たちが自らの所在を偽装するために行っている可能性があり、必ずしも悪意ある者の所在地とは一致しない。
クラウドサービスへの不正アクセスに成功すると、悪意ある者たちは次に、被害に遭った企業や組織内の他のアカウントに対してメールを送り始める。これは、既に盗み出された資格情報を用いて本物のメールアドレスから送られた偽物のメールであるため、受け取った第二の標的がそれを見抜くことは一段と難しくなる。
また、最近ではログインの際にパスワードだけでなく携帯電話のテキストメッセージやトークンなどを用いた複数方法で認証を行う多要素認証（MFA）を用いてセキュリティーを高めている企業も多い。
しかしMFAを用いていた企業であっても、残念ながらこのような被害に遭っている企業をCISAでは確認している。ここでは詳細な手口の説明は割愛するが、おそらくpass-the-cookie攻撃（*2）という手法を用いてMFAによるセキュリティーを回避し、不正アクセスを成功させたのではないだろうか。
*2 https://stealthbits.com/blog/bypassing-mfa-with-pass-the-cookie/
標準機能の悪用
最近では個人所有のスマホなどを直接業務に活用できる場面も増えてきたが、仕事用のメールを携帯メールなどに転送設定し、出先などからでも見られるようにされている方は多いのではないだろうか。この転送設定を変更してしまい、機密情報を盗み出すといった手口もある。
転送設定を悪用することで標的のもとに届いたメールの全てが、悪意ある者の持つメールへと転送されるように設定されるといった被害も発生している。
また全てのメールを転送してしまうと悪意ある者も大変なので、いくつかの財務関連キーワードが含まれていた場合にのみ転送するよう設定するといった手口も取られる。この場合、抽出するキーワードにはスペルミスなども含めておくことで、より精度高く目的のメールを取得しようとしている。
さらには、フィッシング詐欺のメールで警告が表示されてしまわないように、特定のフィッシング関連キーワードを含む場合でもメールが届くように細工されてしまうこともある。あらかじめ用意されている標準機能を悪用される場合もあるのだ。
迅速かつ効率的に対応するには
これらのように普段私たちが活用しているクラウドサービスを、ちょっとした工夫で乗っ取り、さらにちょっとした工夫でより多くを得ることに悪意ある者たちは成功している。
CISAの報告書では推奨している対応方法について21項目紹介しているので、最後にここから三つほど取り上げて紹介したい。
まず、前述したメール転送の悪用による情報の窃取を防ぐためにも、メール転送ルールやアラートの設定が自ら設定したものから変更されていないか定期的に確認すること。また、転送そのものを制限する設定に変更するといったことを推奨している。
また、リモート・デスクトップ・プロトコル（RDP）を狙った攻撃が急増したことについては、前回（サイバーリスクと向き合う上で大事なこと）で述べた。 クラウドに立ち上げた仮想マシンインスタンス（クラウド上に立ち上げた仮想のサーバーのようなものとイメージしていただきたい）で、RDPに不特定多数がアクセスできるような状態となっているものがないか今一度確認することを推奨している。
そして、これは全ての企業や組織に対して言えることであるが、何らかの問題を発生させてしまった場合にも、従業員が非難されることなく報告できる環境を確立すること。また、不審な動作に気付いた場合やサイバー攻撃の被害に遭ったと思われる場合には、誰に連絡を取ればよいかを明確にすること。このことによって、適切な対策・対応を迅速かつ効率的にとっていけると推奨している。
この報告書ではここで紹介した対応方法以外にも、「Microsoft 365」を利用している企業に向けたアドバイスなどもあるため、業務でクラウドサービスを活用されている方にはぜひとも一読されたい。
本連載執筆担当：ウイリス・タワーズワトソン Cyber Security Advisor, Corporate Risk and Broking 足立 照嘉
