出張者が標的に：ホテルWi-Fi経由でMicrosoft 365認証情報を窃取、MFAもすり抜け

米国、インド、サウジアラビアの出張者を標的に、ホテルのWi-Fiを経由してMicrosoft 365の認証情報を盗み出す攻撃キャンペーンが確認された。セキュリティ企業ReliaQuestが7月24日に報告したもので、フィッシングメールや不正な添付ファイルを必要とせず、侵害されたネットワークに接続して業務用アカウントにログインするだけで被害に遭う可能性がある。一部のケースでは多要素認証（MFA）をすり抜ける手法も確認されており、IT管理者は従業員の出張前に、フルトンネルVPNの徹底やデバイスコードフローのブロックといった対策を講じる必要がある。

【あわせて読みたい】
・北朝鮮ハッカーがマルウェアに自爆感染、研究者がCoinbaseなど1,640社の侵害を特定
・セキュリティ・プライバシーの記事一覧

■フィッシングメール不要、接続してログインするだけで窃取

米国、インド、サウジアラビアの出張者が、フィッシングメールも不正な添付ファイルも、被害者側のミスも一切必要としない手口で、Microsoft 365の認証情報を密かに盗まれている。侵害されたホテルのWi-Fiネットワークに接続し、仕事のためにログインするだけで被害が成立するという。ReliaQuest Threat Researchは7月24日、米国内の複数の都市と海外にまたがる攻撃者管理下のインフラを追跡した結果として、この一連の攻撃を公表した。被害者は金融サービス、専門サービス、法務、ヘルスケア、エネルギー、小売の各分野に及ぶ。

このキャンペーンが通常の企業向けフィッシングよりも危険なのは、認証情報の窃取そのものではなく、多要素認証（MFA）のバイパスにある。観察されたケースの一部では、攻撃者はパスワードをまったく盗んでいなかった。攻撃者は「デバイスコードフロー」と呼ばれるMicrosoftの正規の認証メカニズムを利用し、被害者本人に気づかれないまま協力させる形で、Microsoft自身のサーバーから直接、有効なOAuthトークンを取得していた。MFAは破られたのではない。正しく機能したうえで、被害者自身に不利に使われたのである。

■侵害されたネットワーク上の全ゲストが標的に

攻撃は、個人のノートパソコンやスマートフォンではなく、ホテルネットワーク上の全ゲストのWi-Fiアクセスを制御する共有ゲートウェイアプライアンスから始まる。ゲストが部屋番号を入力したり利用規約に同意したりするネットワーク接続画面を表示するハードウェアであるキャプティブポータルアプライアンスは、ネットワークの境界に位置し、接続された全ユーザーのDNS解決を制御する。この1台を侵害すれば、攻撃者は個々の端末（エンドポイント）に一切触れることなく、その日にログインするすべてのゲストの認証トラフィックをリダイレクトできるようになる。

この手法はDNSポイズニングである。出張者のデバイスがホテルネットワークに「login.microsoftonline.comはどこか」と尋ねると、正常に機能しているゲートウェイはMicrosoftの実際のIPアドレスを返す。しかし、侵害されたゲートウェイは代わりに攻撃者のIPアドレスを返す。被害者のブラウザには、レイアウトもブランド表示も同じMicrosoftのログインページに見える画面が開き、被害者は攻撃者が管理するインフラに本物の認証情報を入力してしまう。

ReliaQuestは、攻撃者が偽のMicrosoftポータルをホストするために登録した4つのドメイン（m365-owa[.]com、owa-ms365[.]com、ms365-device[.]com、ms365-live[.]com）を特定した。このDNSポイズニングは精密なものではない。認証トラフィックだけを選択的にリダイレクトするのではなく、侵害されたゲートウェイはすべてのDNSリクエストを悪意のあるインフラへ解決する。これは過去の国家支援型キャンペーンよりも大雑把なアプローチであり、その分、ホテルのITチームにとっては検知の手がかりが残る範囲が広くなる。

ゲートウェイアプライアンスへの初期アクセスは、SSH、SNMP、Web管理パネルといった外部に露出した管理インターフェースと、脆弱な、あるいは使い回された管理者用認証情報の組み合わせを悪用した可能性が高いとみられる。ただし、ReliaQuestはこれを決定的な侵入経路として確認するには至っておらず、未確認であるとしている。

■VPNアプリでは守り切れない場合がある理由

ReliaQuestの調査による重要な発見の一つは、一般的なセキュリティの前提の限界に関するものである。多くの企業ユーザーは、Googleの「8.8.8.8」のようなパブリックDNSサーバーを使用すれば、信頼できないネットワーク上でも保護されると考えている。しかし、そうではない。DNSリクエストは暗号化されていないトラフィックとしてデバイスから送信されるため、リクエストがGoogleに到達する前に、ゲートウェイがそれを読み取り、偽造し、悪意のあるIPアドレスで応答することができる。侵害は、リゾルバが機能する前の段階で起きているのである。

デフォルト設定（ほとんどのエンタープライズデバイスが使用する設定）のDNS暗号化ツールも、ここでは効果がない。標準的なDNS over HTTPSおよびDNS over TLSの実装は、暗号化された接続が失敗した場合に平文へのフォールバックを許可するオポチュニスティックモード（日和見モード）がデフォルトとなっている。侵害されたゲートウェイは暗号化されたDNSハンドシェイクを妨害できるため、オポチュニスティックモードは平文にフォールバックし、攻撃者がその応答を偽造する。暗号化接続の確立失敗をハードエラーとして扱う厳格モード（ストリクトモード）の暗号化DNSのみが、この隙を塞ぐことができる。

効果的な保護となる構成は2つある。フルトンネルVPNは、ホテルのゲートウェイが介在する前にすべてのDNSクエリを企業トンネル経由でルーティングし、すべてのリクエストが信頼できる企業インフラ経由で解決されることを保証する。また、平文へのフォールバックを完全に拒否するように構成された厳格モードのDNS over HTTPSまたはDNS over TLSは、ゲートウェイによる応答の偽造を防ぐ。ほとんどのエンタープライズVPNの導入では、特定のトラフィックがVPNをバイパスできるようにする例外（スプリットトンネル）が許可されており、こうした例外はDNSと認証トラフィックについて個別に監査する必要がある。

■パスワードに触れずにMFAをバイパスする手法

従来型の認証情報窃取にとどまらず、ReliaQuestは、認証情報を傍受することも、転送中の認証トークンを捕捉することもなくMFAをバイパスする、もう一つの手法を記録している。

この手法は、OAuth 2.0標準の認証メカニズムであり、正式には「デバイス認可グラント（Device Authorization Grant）」として規定されているMicrosoftの「デバイスコードフロー」を悪用する。これは、スマートテレビや会議室のディスプレイなど、キーボードやブラウザを持たないハードウェア向けに設計されたもので、ユーザーはデバイス上に表示される短いコードを、ブラウザが使える2台目のデバイスで入力することでサインインする。Microsoftの実装では、ユーザーを実在のMicrosoftのページである「microsoft.com/devicelogin」に誘導し、そこでコードを入力させる。

侵害されたホテルネットワーク上では、攻撃者は被害者がMicrosoftのページに到達する前に目にするものを制御できる。偽のログイン画面には、標準的なMicrosoftの確認手順のように見えるデバイスコードの入力画面を表示できる。被害者は実際のMicrosoftのページ（侵害の影響を受けておらず、実際にMicrosoftが運営しているページ）に移動し、コードを入力する。被害者には見えないが、そのコードは被害者のデバイスではなく、攻撃者のデバイスによって生成されたものである。Microsoftは攻撃者のクライアントに有効なOAuthトークンを発行する。攻撃者は、パスワードを一度も見ることなく、また認証トラフィックを傍受することもなく、被害者のMicrosoft 365アカウントへのMFAを満たした完全なアクセス権を獲得する。

Microsoftおよび独立したセキュリティ研究者は、少なくとも2021年以降、デバイスコードフローをリスクの高い認証経路として認識している。Microsoft自身の条件付きアクセスに関するドキュメントでは、特に必要としないすべてのユーザーに対してデバイスコードフローをブロックすることを明示的に推奨しており、そのための手順を追ったポリシー構成方法も提供している。

■Windowsの隠れたプロキシ脆弱性による第2の攻撃レイヤー

観察されたケースの約3分の1では、攻撃者は第2のWindows機能である「Web Proxy Auto-Discovery（WPAD）」の悪用も試みていた。Windowsでデフォルトで有効になっているWPADは、デバイスがネットワークからプロキシ構成ファイルを自動的に取得できるようにする機能で、アプリケーションに対してどのプロキシサーバー経由でトラフィックをルーティングするかを指示する。

侵害されたホテルネットワーク上では、攻撃者はWPADのクエリに対して悪意のあるプロキシ自動構成ファイルで応答し、Chromeブラウザのセッションを含むアプリケーショントラフィックを、攻撃者が制御するプロキシサーバー経由でルーティングさせることができる。ReliaQuestは、約3分の1のケースでこの手法が試みられたことを観測したが、調査したインシデントにおいて実際にトラフィックの傍受に成功したかどうかは確認できなかったとしている。

ReliaQuestはまた、攻撃者のドメインの1つで、認証情報収集用のおとりページのステージングとローテーション、テレメトリの追跡、IP許可リストによるコンテンツの選択的な出し分けが可能な管理パネルの存在を示すDOMコンテンツを発見した。これは、一度設定したら放置するような展開ではなく、稼働中の管理インフラを備えた組織的なオペレーションであることを示唆している。

■APT28の痕跡と帰属の限界

ReliaQuestは、2026年4月7日にFBI、米司法省および国際的なパートナーによって阻止されたAPT28のキャンペーン「FrostArmada」との慎重な比較を行っている。米国政府によってForest Blizzardとして追跡され、Fancy Bearとしても知られるAPT28は、ロシアのGRU（軍参謀本部情報総局）の第26165部隊である。ピーク時、FrostArmadaは120カ国で、MikroTikやTP-Linkの製品を含む約1万8000台のSOHOルーターを侵害し、各国の外務省、法執行機関、ITプロバイダーからのMicrosoft 365認証を傍受するためのDNSハイジャック用インフラとして使用していた。

現在のホテルを標的としたキャンペーンは、ゲートウェイレベルのDNSポイズニングによってMicrosoftの認証ドメインをリダイレクトするという中核的な手法や、Microsoft 365の認証情報窃取と中間者（adversary-in-the-middle）型の位置取りに重点を置く点で共通している。ただし、攻撃インフラとドメインは、確認されているFrostArmadaの資産とは異なる。ReliaQuestは、このキャンペーンについて「現時点ではFrostArmadaそのものであるとは評価されていないが、少なくとも手口の再利用を示唆するのに十分な戦術、技術、手順（TTP）を共有している」と評価している。

1つの重要な技術的違いが、両キャンペーンを分けている。FrostArmadaは、特定の認証ドメインに対するDNSリクエストを選択的にリダイレクトしていた。一方、現在のキャンペーンはすべてのDNSトラフィックを攻撃者のインフラ経由でリダイレクトする。これはより無差別なアプローチであり、別のオペレーター、洗練度の低い模倣犯、あるいはすべてのゲストにわたって認証情報の収集面を最大化するための意図的な選択を反映している可能性がある。

■標的は6つのセクター、3カ国（業界の偏りはなし）

このキャンペーンは特定の業界に焦点を当てていない。侵害されたゲートウェイへの被害者のトラフィックは、金融サービス、専門サービス、法務、ヘルスケア、エネルギー、小売の組織から発生しており、標的が雇用主の業界ではなく出張という行動によって定義されていることが確認された。ホテルや会議施設のWi-Fiネットワークに接続し、フルトンネルVPNなしでMicrosoft 365にアクセスする企業の従業員はすべて、攻撃対象領域に含まれる。

Infosecurity Magazineは、攻撃対象領域はホテルにとどまらず、空港、会議施設、コワーキングスペース、大学、医療施設など、キャプティブポータル型ネットワークを運用するあらゆる事業者に及ぶと指摘している。

■IT管理者が次の出張前にすべきこと

ReliaQuestの推奨事項は、このキャンペーンによって開かれた4つの異なる攻撃対象領域に対処するものである。各対策はそれぞれ特定の経路を塞ぐ。

すべての企業デバイスで常時接続のフルトンネルVPNを強制する。これは、ネットワーク層でのDNSポイズニングに対する単独の対策としては最も効果的である。フルトンネルVPNは、DNSクエリを含むすべてのトラフィックを、ホテルのゲートウェイに到達する前に企業インフラ経由でルーティングする。認証やDNSのトラフィックがVPNをバイパスすることを許すスプリットトンネル構成は、まさにこのキャンペーンが悪用する隙を残すため、監査したうえで排除する必要がある。

グループポリシーでWPADを無効にする。WPADはWindowsでデフォルトで有効になっているが、プロキシ設定を中央で管理するほとんどのエンタープライズ環境では役割を果たさない。グループポリシーで無効化すれば、WPAD悪用手法が依存する攻撃対象領域そのものを取り除ける。

Microsoft Entra IDでデバイスコードフローをブロックする。Entra IDの条件付きアクセスポリシーにより、正当な業務上の必要がないすべてのユーザーに対してOAuthのデバイスコードフローをブロックできる。Microsoftは、原則としてすべてブロックする方向に移行し、レガシーツールなど文書化されたユースケースにのみ例外を認めることを推奨している。ポリシーの構成方法はMicrosoftの条件付きアクセスに関するドキュメントで公開されており、クライアントソフトウェアの変更を必要とせずに適用できる。

公共Wi-FiでURLと証明書を確認するよう従業員を教育する。従業員に対しては、特にホテル、空港、会議施設のネットワーク上で、認証情報の入力を求めるページのURLと証明書を入力前に確認するよう指示すべきである。本来のMicrosoftのドメインとわずかでも異なるURLは危険信号であり、その場合はネットワークから切断し、代わりにセルラー接続を使用すべきである。

ホテルや会場のWi-Fiゲートウェイアプライアンスを堅牢化する。ホテル運営者や会議施設のIT担当チームは、キャプティブポータルアプライアンスの管理インターフェース（SSH、SNMP、Web管理ダッシュボード）がインターネットに公開されていないこと、および定期的に更新される強力で一意の認証情報で保護されていることを確認する必要がある。キャプティブポータル機器のベンダーには、現在のパッチ提供状況を確認すべきである。

■注目ポイントQ&A

●ホテルのWi-FiでVPNを使えば、この攻撃から守られますか？

守られるのは、VPNがフルトンネル構成の場合だけです。つまり、DNSクエリを含むすべてのトラフィックが、ホテルのネットワークに触れる前に企業トンネルを経由してルーティングされる場合です。一部のトラフィックが企業ネットワークをバイパスすることを許すスプリットトンネルVPNでは、攻撃対象領域が開いたままになります。また、Wi-Fiに接続してキャプティブポータルの認証を行う時点でVPNアプリが未接続であれば、その認証の間は保護されません。完全に保護する唯一の方法は、デバイスが外部ネットワークに接続する前に企業ポリシーで強制される、常時接続のフルトンネルVPNです。

●侵害されたホテルネットワーク上でMFAをバイパスされることはありますか？

はい。デバイスコードフローの悪用を通じてバイパスされる可能性があり、このキャンペーンはこの方法でパスワードを盗まずにMFAをすり抜けています。攻撃者がネットワークを制御している場合、デバイスコードの入力を促す偽のMicrosoftページを表示できます。利用者が実際のMicrosoftサイトでそのコードを入力すると、Microsoftは利用者のデバイスではなく、攻撃者のデバイスに有効なOAuthトークンを発行します。Microsoftから見れば、利用者は正常に認証し、アクセスを許可したことになります。実際、利用者は知らないうちに攻撃者が制御するセッションに対してそれを行っているのです。IT管理者は、Microsoft Entra IDの条件付きアクセスポリシーでデバイスコードフローをブロックすることで、この攻撃経路を排除できます。

●GoogleのDNSサーバー（8.8.8.8）を使っても、この攻撃から守られないのはなぜですか？

DNSリクエストは暗号化されていないトラフィックとしてデバイスから送信されるため、リクエストがGoogleのサーバーに到達する前に、ホテルのゲートウェイがそれを読み取り、偽造することができます。侵害はゲートウェイで、つまりGoogleのリゾルバよりも前の段階で起きています。DNSの暗号化を使っていても、平文へのフォールバックを無効にした厳格モードで構成されていない限り、完全には保護されません。ほとんどのエンタープライズデバイスはオポチュニスティックモードを使用しており、攻撃者は暗号化されたDNSハンドシェイクを妨害することでこれを破ることができます。

●このキャンペーンの標的となっているのはどの業界ですか？

ReliaQuestは、金融サービス、専門サービス、法務、ヘルスケア、エネルギー、小売という6つのセクターの組織からの被害トラフィックを確認しました。標的のパターンは業界に特化したものではなく、攻撃者は特定の業種の企業の従業員ではなく、出張先にいる企業の従業員を狙っています。従業員がフルトンネルVPNなしでホテルや会議施設のWi-Fiに接続する組織はすべて、このキャンペーンの射程に入ります。

元記事: Hotel Wi-Fi Gateways Weaponized to Steal Microsoft 365 Logins: MFA Bypassed