# オープニング #ダイエットの停滞期 どうもー。セキュリティジョッキーの松野です。 5社のセキュリティ企業を立ち上げて300人以上のセキュリティ人材を排出した 屈指のセキュリティ企業家である私松野が、東京都関連のセキュリティ組織で働きつつ サイバーセキュリティの最新ニュースについて解説しております。 ということでね、今日はダイエットの停滞期に関する話なんですけども そうですね、まさに今の僕みたいな、そんな感じなんですけれども ダイエットだったり減量しているとですね、必ず来るのが停滞期ということになります。 理由としてはですね、体がその低カロリーだったり食生活に慣れてきてしまって 体重が減らなくなるということでございます。 本当に人間の体は良くできているなぁというところもありまして、ある意味、体がですね、その 飢餓に慣れてくるということですね。 結果、省エネモードに入って、低カロリーでも生きていけるようになっていくという、素晴らしい機能なんですけども ダイエットにはですね、それが一つの壁になるということになります。 で、この壁をですね、突破するにはチートデーと呼ばれるような高カロリーのですね、食事を とる日を1日儲けてみて、体にカロリーあるよと、ショックを与えるというのが一つとですね、 あとはそのカロリーを削りすぎないというのが大事なんですね。 いわゆる基礎代謝だったりとか、最低限必要なカロリー、ギリギリのラインでですね、 カロリーを摂取し続けるということで、ダイエットの成功の一つの方法としては、 あまり食べ物を少なくすぎないというところがあるのが、この辺り低回帰に入る腹内が 関連しているということになります。ご参考までに。 ということで、今回はVoid Proxyによる多要素認証の回避について取り上げております。 この放送を通じてリスナーの皆さんは、現場で優先的にとるべき 防御策と確認手順について理解を深めていただければと思います。 それではどうぞ。 # MFAを回避、新たなフィッシング アズ ア サービス「VoidProxy」をOktaが分析 MFAを回避、新たなフィッシングアズアサービス、ボイドプロ機種をオクタが分析。 オクタジャパン株式会社は9月12日、新たなフィッシングプラットフォームボイドプロ機種がMFAを回避しているとの分析記事を公開した。 こちらの記事を簡単に解説お願いできますでしょうか。 はい。ボイドプロ機種はフィッシングアズアサービスの一種で、アドバサリーインザミドルの技術を用いて認証フローをリアルタイムで傍受します。 その結果、ユーザーのID情報だけでなく多要素認証のワンタイムコードやログイン時に発行されるセッショントークンまで取得できる点が問題です。 プラットフォームは解析を難しくするために侵害されたメールアカウントや複数のリダイレクト、クラウドフレアの機能や動的DNSを悪用しているため、検知やブロックが難しくなっています。 影響はアカウント乗っ取りからビジネスメール詐欺や金センサシュ、データ流出、社内での横展開まで多岐にわたります。 脆弱性としては従来のワンタイムパスワードやSMSコードでは防ぎきれない点が明らかになったため、対策としてはフィッシング体制のある認証手段の導入とそれを必須にするサインオンポリシーの適用、異常ログイン検知と多層的なメール保護の強化が重要です。 アドバサリーインザミドルという攻撃技術は具体的にどのように動いてMFAのコードやセッショントークンを奪うのですか? はい。攻撃者はユーザーに見せる偽のログインページと本物の認証サーバーの間にプロキシを置き、ユーザーから送られた認証情報をそのまま本物のサイトに転送します。 本物のサイトが返す認証確認やワンタイムコードの要求もリアルタイムで中継されるため、ユーザーが入力したOTPやSMSコードが攻撃者にそのまま渡ります。 さらに一部の認証フローではセッショントークンが発行されますが、このトークンも中継経路で取得して悪用できるため、単にコードを回避されるだけでなく持続的なアクセスが可能になります。 ボイドプロキシはその中継を自動化し、解析回避のための複雑なリダイレクトやプロキシ構成を使っている点が特に厄介です。 この問題に対する修正方法として具体的には何を優先すればよいのでしょうか? はい。最優先はフィッシング体制の高い認証方式への移行です。 具体的には指紋認証や顔認証などのプラットフォーム認証機やセキュリティキーといったファイド2準拠の公開鍵方式を導入し、サインオンポリシーでワンタイムパスワードやSMSを非推奨にすることです。 次に多要素認証を適用していても不要な外部アクセスを制限する条件付きアクセスを設定し、異常な地理的ログインやデバイス不一致をブロックします。 さらにメール保護の強化としてDマークやSPF、D勤務の適用と身外検出の強化、重要アカウントの監視を行うことが効果的です。 これらを段階的に実施する計画を立てることを推奨します。 導入後にちゃんと防御できているかを確認する確認手順はどうやって行えば良いですか? はい。まずログの収集と分析基盤を整え、異常なサインインや不審なリダイレクトに関するログを継続的に監視します。 次にフィッシング体制のある認証方式をテストするために限定したユーザーで実運用前の検証を行い、第三者のレッドチームやペネトレーションテストで実際の攻撃シナリオをシミュレーションします。 加えてセッションのライフサイクルやトークン発行の挙動を監査し、予期しない長時間のセッションや不自然なトークン環境がないかを確認します。 最後に自動アラートとインシデント対応手順を整備して即時対応できる体制を作ります。 組織レベルで取るべきリスク低減策は他に何がありますか? はい。ユーザー教育とフィッシング訓練は基礎として継続的に実施すべきです。 技術面ではセキュリティキーの配布やOSやブラウザのセキュリティ設定の統一を行い、古い認証方式や脆弱なプロトコルを無効化します。 メールアカウントの保護では多段階の異常検知や侵害された内部アカウントの迅速な遮断ルールを設定します。 さらにサードパーティの脅威インテリジェンスを活用して基地の悪性ドメインやプロキシをブロックし、ログとアラートの相関で早期に兆候を検出する仕組みを作ることが重要です。 なるほど。今回のボイドプロキシでのMFA回避の仕組みと、それに対する優先的な対策についてよくわかりました。また一つ勉強になりました。 # エンディングと今日のまとめ はい、ということでいかがでしたでしょうか。 今回はですね、VOIDプロクシというフィッシングアザサービスですね。 フィッシング作業を働くためのプラットフォームの分析についてお届けしたわけなんですけれども、 基本的なフィッシング対策の一つとしてですね、 二要素認証というのはですね、常に挙げられるわけなんですけれども、 今回のですね、VOIDプロクシのように、その二要素を含めてフィッシングの被害にあってしまうとですね、 これ対策としては何の意味もないということになってしまいます。 具体的にはですね、そのIDとパスワードと、それに加えてですね、 TOTPですとか、そういったスマホに表示された番号とかをですね、同時に入力してしまって、 それらがですね、フィッシングの被害にあってしまうと。 しかもですね、そのセッション情報まで再現するというかですね、保存して、 盗まれたことにですね、場合によっては気づかない状態になってしまうということですよね。 あらゆる観点からですね、攻撃者側もですね、成功確率を上げるために手法を日々変更しているということになります。 最終的に狙われるところがですね、やはり人であるということですね。 常に言われております静寂説ですね。 人、つまりあなた自身も狙われているということをですね、 常に気を付けながら、セキュリティ対策、漏れなく行っていただければと思います。 今日の10分セキュリティラジオは、月曜から金曜の朝7時15分に配信しております。 そして、わからないことは今すぐ聞こう。 何でも聞けるセキュラジー製作室は、水曜夜8時から絶賛生放送中です。 さらに土曜日は、セキュラジーAI民社のまとめチャンネルを放送しております。 ぜひこちらも聞いてみてください。 それではまた次回のレギュラー配信でお会いしましょう。 セキュリティジョッキーの松野でした。 See you.