電話1本で始まり、侵入から6分でデータの持ち出しへ
ソーシャルエンジニアリングを使う攻撃の多くと同じく、今回の攻撃も、正規の従業員に届く電話やテキストメッセージ、あるいはチャットツールなどを通じた社外からの共同作業の依頼から始まる。攻撃者は、IT部門のサポート担当や、社内の他部署を名乗ることが多い。
巧妙なのはその先だ。攻撃者は、こうしたフィッシングで狙いどおりの認証情報やセッショントークン（ログインした状態を保つための情報）を手に入れる。その上で、認証と端末の登録を、だまされた従業員がふだんいるはずの場所に近いレジデンシャルプロキシ経由で行う。
報告書はこの点について、攻撃者が登録した端末や認証方法は、パスワードをリセットした後も引き続きアクセスする手段になりうると警告している。攻撃者はさらに、データをダウンロードしたり、そのアカウントと連携しているクラウドのアプリケーションを見て回ったりすることもできる。
研究者たちは、これまでの標的も明らかにしている。SharePoint（マイクロソフトの文書共有サービス）、メール、Salesforce（顧客管理のクラウドサービス）、データ分析のプラットフォームなどだ。
さらに、ある事例では「データの持ち出しとみられる活動が、最初の侵入から約6分後に始まった」とし、別の事例では約15分後だったとしている。守る側にとっては、気がかりな速さだ。
報告書は、認証のログがSIEM（各種のログを集めて攻撃の兆候を検知するシステム）に届き、検知ルールで判定され、アナリスト（分析担当者）の確認を待つという流れだけには頼れないと指摘している。侵入から十数分以内に、データの探索や窃取が始まるためだ。
パスキーなどフィッシングに強い認証へ切り替え、SMSや通知での承認はやめる
この新しいタイプのデータ窃取ハッカーを寄せつけないために、ReliaQuestは守る側の組織に2つのことを勧めている。
1つは、すべての従業員と管理者に「フィッシング耐性のある多要素認証（MFA）」を使わせることだ。フィッシング耐性のある認証は、本物のサイトでしか使えないため、偽のページに誘い込まれてもだまし取られない。具体的には、パスワードを使わない認証の規格FIDO2に対応したYubiKeyなどのセキュリティキー（USB端子などにつないで使う、認証用の小型機器）や、パソコンやスマートフォン本体の認証機能と結びついたパスキーを使う。
もう1つは、フィッシング耐性のない認証方式を、可能な範囲ですべてやめることだ。SMSで届くコードを入力する方式や、スマートフォンに届く通知で承認ボタンを押すだけの方式がこれに当たる。
