ロシアの支援を受けたハッカーがMicrosoft Teamsを利用して政府機関に侵入

ロシア政府が支援するハッカーらが、Microsoft Teams のテクニカル サポート スタッフを装い、政府機関を含む世界中の組織数十件に侵入した。

マイクロソフトのセキュリティ研究者は水曜日、この「高度に標的を絞った」ソーシャルエンジニアリング攻撃は、ロシア政府が支援するハッカー集団によって実行されたと発表した。マイクロソフトは「ミッドナイト・ブリザード」として追跡しているが、一般的にはAPT29またはコージー・ベアとして知られている。2020年に発生した悪名高いSolarWinds攻撃にも関与したこの集団は、米国と英国の法執行機関によると、ロシア対外情報局（SVR）に所属している。

5月下旬に始まった攻撃では、APT29のハッカーが、以前に侵害したMicrosoft 365アカウントを利用して、テクニカルサポートをテーマにした新しいドメインを作成しました。これらのドメインを使用して、ハッカーはMicrosoft Teamsにメッセージを送信し、ユーザーを操って多要素認証プロンプトへの承認を促し、最終的にはユーザーアカウントへのアクセスと機密情報の窃取を狙っていました。

「標的ユーザーがメッセージリクエストを承認すると、攻撃者からMicrosoft Teamsメッセージが届き、モバイルデバイスのMicrosoft Authenticatorアプリにコードを入力するよう促されます」とMicrosoftは述べています。被害者がこれらの指示に従えば、ハッカーはユーザーのアカウントに完全にアクセスできるようになります。

マイクロソフトによる今回の攻撃に関する調査によると、標的または侵入を受けた組織は世界全体で40未満で、政府機関、非政府組織、ITサービス、テクノロジー、組立製造、メディア業界などが含まれます。標的となった組織名は明らかにされていませんが、ロシアのハッカーによる「具体的なスパイ活動の目的を示唆している」とマイクロソフトは述べています。

マイクロソフトは、ハッカーグループによるドメイン使用を抑制したと述べ、正当なAzureテナントを侵害するためのハッカーの前兆となる攻撃や、ソーシャルエンジニアリングキャンペーンにおけるホモグリフドメイン（フォント文字の類似性を利用して正当なドメインを偽装するドメイン）の使用など、「この活動の調査を継続している」としている。

このロシア関連のソーシャルエンジニアリング攻撃のニュースは、中国のハッカーがマイクロソフトのクラウドメールサービスの欠陥を悪用して米国政府職員のメールアカウントにアクセスしてから数週間後に報じられた。