攻撃者を魅了する使いやすさ
マルウェアの設定自体はかなり簡単に行えたようだ。サンドとライクネスは「たった1行の単純なコマンドをコピーペーストするだけで、フィッシングソフトウェアはほぼ準備完了の状態になりました」と語っている（ただし彼らが入手したライセンス未取得のマルウェアを起動させるために、ハッキングを行う必要はあった）。こうした使いやすさこそが多くの攻撃者をこの種のフィッシングキットへと誘引する理由だが、セキュリティ専門家のなかには、マジックキャットがもたらすさらに深刻なリスクに注目する者もいる。
advertisement
2FA回避によるクレジットカード攻撃への懸念
KnowBe4（ノウビー4）のセキュリティ意識啓発主任アドバイザーであるジャヴァド・マリクは、クレジットカードを狙うフィッシング攻撃の巧妙さと規模の大きさを認めつつ、「特に懸念されるのは、ダーキュラがリアルタイムのセッションハイジャックによって、ユーザーがサービスにログインした後に発行される「セッションクッキー」を攻撃者が盗み出すことで、（2FAを含む）多要素認証を回避できる点です」と述べている。
攻撃者は、ブラウザー内から盗み出した特殊かつ有効な「セッションクッキー」を悪用することで、ID、パスワード、2FA（およびMFA）コードを入力することなく正規ユーザーになりすまし、アカウントに不正アクセスできるようになる。この手法は、パス・ザ・クッキー（Pass-the-Cookie）攻撃や、クッキー泥棒などと呼ばれている。
この脅威に対処するには、金融機関、サイバーセキュリティ企業、そして法執行機関の三者が連携することが不可欠だという。マリクは、ダーキュラの攻撃とマジックキャットのマルウェアは「絶え間ない警戒と適応的なセキュリティ対策がいかに重要であるかを改めて思い出させるものです」と結論づけている。
advertisement
