Twilioフィッシング攻撃はOktaになりすました大規模キャンペーンの一環──Group-IB報告

[ITmedia]

　米Twilioが8月7日（現地時間）に報告した「高度なソーシャルエンジニアリング攻撃」は、130以上の組織を攻撃した大規模なフィッシングキャペーンの一環だったと、シンガポールに拠点を置くセキュリティ企業Group-IBが25日に公式ブログで報告した。

　この大規模フィッシング攻撃では、米カリフォルニア州サンフランシスコに拠点を置くIDプロバイダーOktaのログインページになりすましたページが使われているため、Group-IBはこのフィッシングキャンペーンを「Oktapus」と名付けた。

　攻撃者は、なりすましたログインページを使って130以上の組織の9931件のログイン資格情報を盗み、そのデータを使ってVPNやリモートアクセス端末を介して企業のネットワークにアクセスしたという。キャンペーンは遅くとも2022年3月には始まったとしている。

　攻撃者はまず入手（入手方法は不明）した電話番号にOktaのログインページにアクセスするよう偽ログインページへのリンク付きのSMSを送りつける。

　リンク先のフィッシングページは標的となった企業の従業員が毎日使っているポータルに似せてあり、気づかずにOktaのIDクレデンシャルと2要素認証（2FA）コードを入力させるようになっている。

Oktaの認証ページに似せたフィッシングページの例（画像：Group-IB）

　攻撃者はここで入手したデータを使って企業のVPNや顧客サポートシステムにアクセスして顧客データを盗み、Signal Messengerが報告したように、さらなるサプライチェーン攻撃のために悪用した。

　標的となった組織の大半は米国拠点だった。Twilio、Cloudflare、AT&T、Verizon Wireless、T-Mobile、Epic Games、Twitter、Slack、Microsoft、Best Buy、CoinBaseなどが含まれる。

　Group-IBは攻撃者についてより詳しい情報をつかんでおり、詳細を国際的な法執行機関と共有したとしている。