Teams APIを悪用する新たなサイバー攻撃手法が見つかる フィッシングなど可能に

日本プルーフポイントはTeamsを悪用した新しいフィッシング詐欺やマルウェア攻撃手法を発見した。未文書化APIが任意のWebページを追加できる仕組みを悪用することで、セキュリティリスクが生じる可能性がある。

[後藤大地，有限会社オングス]

　日本プルーフポイントは2023年6月9日、「Microsoft Teams」（以下、Teams）を悪用してフィッシング詐欺やマルウェア攻撃を実行する手法を発見した。

日本プルーフポイントは、Teamsを使ってフィッシングやマルウェア攻撃を実行する方法を紹介した（出典：日本プルーフポイントのWebサイト）

Teamsの未文書化APIがもたらすセキュリティリスク

　日本プルーフポイントは、Teamsのタブが文書化されていないTeams APIで操作が可能である点に言及した。この仕組みを悪用することで任意のWebページをTeamsのタブとして追加できるようになり、フィッシング詐欺やマルウェア攻撃を仕掛けられるようになる。

　Teamsのタブは配置や名前などに制限があり、任意で追加されたものかデフォルトのものどうかは一見して判断できる。しかし、この文書化されていないTeams APIを利用すると任意の場所に任意の名前で任意のWebページを追加できる。そのため、ここに「Microsoft 365」のサインインを装った偽のWebページなど悪意のあるリンクを追加すればアカウントの窃取が可能になる。

　その他、日本プルーフポイントは上記の仕組みについてURLだけでなくファイルに対しても有効であると指摘した。これを利用するとマルウェアをダウンロードさせることが可能になり、感染のリスクがあるとされている。

　サイバー攻撃対策においてはURLをよく確認することが推奨される。だがTeamsにおいて、WebサイトのタブのURLは、ユーザーが意図的にタブの「設定」メニューにアクセスしない限り表示されないように設計されているため、サイバー攻撃者にとっては非常に魅力的だ。

　日本プルーフポイントは、この攻撃手法を利用したサイバー攻撃の被害に遭わないために、Teamsを利用する際にはこうしたリスクの存在を周知することやTeamsの使用状況を確認すること、Teamsのサービスを可能な限り内部での使用に限定して外部組織との通信に使われないようにアクセス制限をかけることなどをアドバイスしている。