調査:

「ConsentFix」と呼ばれる洗練された新しいフィッシング手法が登場しました。これは「ClickFix」や「FileFix」といったソーシャルエンジニアリング手法の危険な進化形を表しています。これは最初 Push Security によって明らかにされました。

https://pushsecurity.com/blog/consentfix

概要:

ConsentFixは、MicrosoftのOAuthサインインフローを悪用して、パスワードの盗難やMFAのトリガーなしにMicrosoft 365アカウントへのアクセスを取得する、ブラウザネイティブなフィッシング手法です。信頼されたアプリに対する正規の認可手順を完了するようユーザーを騙すことで条件付きアクセスを効果的にバイパスし、攻撃者はこれを利用して有効なアクセストークンを取得し、クラウドリソースへのアクセスを維持します。

‍

‍

‍
‍


正規のサインイン：メールアドレスが有効な場合、ページはファーストパーティアプリ（通常は Azure CLI、アプリ ID: 04b07795-8ddb-461a-bbee-02f9e1bf7b46)）の正規のMicrosoft OAuthサインインフローを発生させます。これらのアプリはほとんどのテナントで事前に同意されていることが多いため、警告や管理者の承認プロンプトは表示されません。

キャプチャ: ユーザーがサインインした後、MicrosoftはOAuth認可コードを含むlocalhost URLにブラウザをリダイレクトします。ユーザーのローカルマシン上で受信待機しているアプリが存在しないため、ブラウザはエラーを表示します。フィッシングページはソーシャルエンジニアリングを用いてユーザーを誘導し、この「エラー」URLをコピーしてフィッシングサイトに貼り付けさせ、接続を「修正」させます。

‍
パスワードを窃取したりマルウェアを配信したりする従来のフィッシングとは異なり、ConsentFixはブラウザコンテキスト内で直接OAuth認可コードを乗っ取ります。Azure CLIのようなファーストパーティMicrosoftアプリケーションに対する本来の信頼を悪用することで、攻撃者は多要素認証（MFA）や条件付きアクセスなどのフィッシング耐性のあるコントロールを完全にバイパスしながら、クラウド環境への完全かつ永続的なアクセスを取得できます。

‍

対策の詳細:

自動化された保護がない場合、ConsentFix攻撃の特定と停止はユーザーによる疑わしいアクティビティの報告とITチームの手動対応に依存し、多くの場合すでにアクセスが発生した後に対応することになります。Overeを使用すると、この動作は自動的に検出され、リアルタイムでアクセスを取り消すことができるため、リスクと対応時間の両方を大幅に削減できます。以下に両方のアプローチの概要を示します。

自動保護がない場合

• 影響を受けたユーザーに確認し、サインインを予期していたか、あるいはウェブサイト、メール、メッセージからログインコードをコピー＆ペーストするよう指示されたかを確認します。
• アクティビティが予期されたものでなかった場合は、ユーザーをすべてのアクティブなセッションから手動でサインアウトさせます。
• 何にアクセスされたか不明な場合は、ユーザーのパスワードをリセットし、アカウントを一時的にブロックします。
• 最近のアクティビティを確認し、メール、ファイル、またはコラボレーションデータが予期せずアクセスされたり共有されたりしていないかチェックします。
• ユーザーが認識していない新しいデバイスや接続がないか確認し、可能な場合は削除します。
• Microsoft環境への接続を許可するアプリケーションを制限することで、将来のリスクを低減します。
• 可能な限り、異例の場所や信頼されていないデバイスからのサインインをブロックします。
• 要求が正規のものに見える場合であっても、ログインコードや認可コードは絶対に共有してはならないことをユーザーに教育します。

Overeを使用する場合

• Overeは、OAuthやトークンベースの攻撃に関連する異常なサインインおよびセッションの挙動を継続的に監視します。
• ConsentFix形式の脅威が検出されると、Overeは 「Possible Session Hijack」 アラートを発行し、セキュリティチームはメールまたはプラットフォーム内アラートで即座に通知を受けることができます。
• Overeを使用すると、インシデントの調査中にアカウントを自動的にブロックできるため、データ露出のリスクを軽減できます。
• 検出と対応に加えて、 Overeは、Microsoft 365をこれらの攻撃に対して堅牢化するために設計された一連のセキュリティポリシーを提供します。 これには、アプリのアクセス、認可動作、リスクの高いサインインパターンに関する制御が含まれます。
• これらのポリシーは、アクセスが許可された後に対応するだけでなく、そもそもトークンの悪用が発生する可能性を低減するのに役立ちます。

以下のデモで、Overeにおけるアラートの実際の表示をご確認いただけます。

‍

これらの堅牢化機能は、リアルタイムの検出および自動化された対応と組み合わせることで、攻撃の手法がパスワードからトークンベースの手法へとシフトしても、Microsoft 365の保護を確実に維持するのに役立ちます。

‍

この脅威について詳しく知りたい場合、またはOvereが既存のお客様や導入検討中のお客様によるConsentFixなどの攻撃の検出と保護をどのように支援するかを理解したい場合は、 お問い合わせ のうえ詳細をご確認ください