偽のOpenAI、SpaceX、Anthropicのイベント登録ページを使い、企業アカウントの認証情報やログイン状態を盗むフィッシング攻撃が確認されました。攻撃者はMicrosoftとGoogleで異なる認証の仕組みを悪用し、多要素認証（MFA）を通過した後のセッションも狙います。
無料特典を掲げる偽イベント登録ページ
登録ページはAIサービスの無料利用や特典をうたい、仕事用アカウントでのサインインを求めます。確認された例には、ChatGPT Proを3カ月提供するとするOpenAIのイベントや、Grok Heavyの3カ月利用権または「SpaceX share」を掲げるSpaceXのイベントがありました。
攻撃者は独自のフィッシングキット「ZoomMock」「MSDRoot」で偽ページを作り、認証情報を盗むサービスへ利用者を誘導します。ページに進む前にCloudflareのCAPTCHAを表示し、自動スキャンを妨げる仕組みも使いました。
招待リンクの最初の配布方法は特定されていませんが、GoogleやZapierのURL短縮サービスを経由するリンクが見つかっています。登録画面には「Microsoftで続行」と「Googleで続行」の選択肢があり、選んだアカウントに応じて手口が変わります。
Microsoftでは正規のデバイスコード認証を悪用
デバイスコード認証は、スマートテレビなど通常のサインイン画面やキーボードを使いにくい機器向けの仕組みです。機器に表示された短いコードを、別のスマートフォンやパソコンからMicrosoftの正規ページに入力して認証します。
攻撃者はMicrosoftに認証コードを要求し、偽ページを訪れた人にそのコードを入力させます。利用者が正規のMicrosoftページでサインインして要求を承認すると、発行されたアクセストークンはコードを要求した攻撃者側のシステムに渡ります。
今回の攻撃では、Kali365がデバイスコード認証を使ってMicrosoft Entraアカウントのトークンを取得し、その後VoidProxyへ利用者を移します。VoidProxyはMicrosoftのログイン画面を介してパスワードやセッションCookieも狙います。
Googleではログインを中継してセッションを窃取
Googleを選ぶと、VoidProxyがログイン画面をポップアップで開きます。このサービスは利用者とGoogleの間に入り、入力された認証情報やMFAへの応答、セッションCookieを取得する中間者攻撃（AiTM）型のリバースプロキシです。
セッションCookieはサインイン後の認証状態を保つ情報です。攻撃者がこれを入手すると、パスワードや追加認証を再び求めずに、認証済みのセッションを利用できる場合があります。
制限設定と認証方式の見直し
Microsoft Entraでは、デバイスコード認証が不要な場合、条件付きアクセスポリシーで制限できます。Microsoftは、可能な範囲でこの認証フローをブロックし、必要な利用者や機器に例外を設ける方法を案内しています。
一方、Microsoft Teams Roomsや共有Teams機器などでは、初回登録や再認証にデバイスコード認証を使う場合があります。Microsoftは、こうした機器のリソースアカウントを例外グループに限定し、Device Registration Serviceもポリシーの対象から除外する構成を案内しています。
ポリシーを有効にする前にサインインログを調べ、レポート専用モードで正規の機器登録や再認証への影響を確認します。例外アカウントを継続的に監視し、不要になった機器のアカウントは例外から外す運用も案内されています。
