C
月内に
攻撃者が多要素認証 (MFA) を回避するため、資格情報の窃取から OAuth トークンの窃取へと手法を移行させていること
📌 一言でいうと
攻撃者が多要素認証 (MFA) を回避するため、資格情報の窃取から OAuth トークンの窃取へと手法を移行させていることが報告されました。OAuth トークンが盗まれると、パスワード変更や MFA の再登録を行ってもアクセス権限が維持されるため、持続的なアカウント乗っ取りやデータ流出のリスクが高まります。攻撃者は LLM によるブランドなりすましや PhaaS テンプレートを用いて、これらの攻撃を加速させています。
🔍該当判定
- Google WorkspaceやMicrosoft 365などのクラウドサービスを社内で利用している
- 外部アプリやツールを連携させる際、「〇〇へのアクセスを許可しますか？」という承認画面で同意して利用している
- 社内システムにログインする際、ID/パスワードだけでなく、スマホアプリ等による多要素認証(MFA)を導入している
上記いずれにも該当しない → 静観でOK
✅該当時の対応
不審なアプリケーションへの権限付与を禁止し、定期的にユーザーが許可しているサードパーティアプリの権限を確認・監査すること。また、トークンの有効期限を短く設定し、異常なトークン利用を検知する監視体制を構築することを推奨します。
📧 メール案を見る (社員向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【注意喚起】不審なアプリ連携への承認に関するご注意
お疲れさまです。情報システム担当です。
最近、正規のサービスを装い、アカウントへのアクセス権限（OAuthトークン）を盗み出す攻撃が増加しています。
ご協力をお願いしたいこと:
1. 心当たりのないアプリケーションから「アクセス許可」や「承認」を求める画面が表示された場合、絶対に承認せず、すぐに情報システム担当へ報告してください。
2. 設定画面から、現在自分が連携を許可しているアプリの一覧を確認し、不要なアプリがあれば連携を解除してください。
対応期限: 本日中
お疲れさまです。情報システム担当です。
最近、正規のサービスを装い、アカウントへのアクセス権限（OAuthトークン）を盗み出す攻撃が増加しています。
ご協力をお願いしたいこと:
1. 心当たりのないアプリケーションから「アクセス許可」や「承認」を求める画面が表示された場合、絶対に承認せず、すぐに情報システム担当へ報告してください。
2. 設定画面から、現在自分が連携を許可しているアプリの一覧を確認し、不要なアプリがあれば連携を解除してください。
対応期限: 本日中
Subject: [Security Alert] Caution Regarding Unauthorized App Permissions
Hi everyone,
We have observed an increase in attacks where adversaries trick users into granting access permissions (OAuth tokens) to malicious applications, bypassing MFA.
What we need from you:
1. If you encounter a request to "Allow" or "Authorize" an application that you did not intentionally initiate, do NOT approve it and report it to the IT team immediately.
2. Please review the list of third-party applications connected to your corporate account and revoke access for any that are no longer needed.
Deadline: End of today
Hi everyone,
We have observed an increase in attacks where adversaries trick users into granting access permissions (OAuth tokens) to malicious applications, bypassing MFA.
What we need from you:
1. If you encounter a request to "Allow" or "Authorize" an application that you did not intentionally initiate, do NOT approve it and report it to the IT team immediately.
2. Please review the list of third-party applications connected to your corporate account and revoke access for any that are no longer needed.
Deadline: End of today