偽ITヘルプデスクの電話が経営層を狙う — Microsoft 365のセッション窃取とデータ恐喝、Arctic Wolfが手口を詳報

要点

• Arctic Wolfは2026年9月3日、ITヘルプデスクをかたる電話（ビッシング）から始まる広範なデータ窃取・恐喝クラスターを「PREY-0058」として追跡していると報告した。
• 攻撃者は役員や部長層を標的に、認証を中継してセッショントークンを盗むAiTM（Adversary-in-the-Middle）手法と、住宅用プロキシによる正規利用者への偽装を組み合わせる。
• Microsoft 365のSharePointやOneDrive、Exchange、さらにBoxからデータを一括窃取し、BlackFileやPink、Helix、Cinderなどの名義で恐喝を行う。住宅用プロキシサービス「NodeMaven」などがサインインの隠蔽に使われた。

何が起きたか

Arctic WolfがGitHubのWolf Toolsリポジトリで2026年9月3日に公開したアラート「2026-09-03: Cloud Data Theft and Extortion via IT Help Desk Vishing and Residential Proxies」によると、同社はMicrosoft 365やBoxなどのSaaSからデータを窃取し恐喝する一連の活動をPREY-0058として追跡している。Google脅威インテリジェンスが報告するUNC6671や、ReliaQuest、Palo Alto Networks Unit 42、Okta、CrowdStrikeの報告と行動が重なるとしている。

同社の観測では、攻撃者は自らを社内ITやヘルプデスク担当者と偽って電話をかけ、被害者に「<被害組織名>.<誘導ドメイン>」形式の認証用URLへアクセスさせた。標的は取締役や副社長など経営層・管理職が最も多い。攻撃者はAiTMパネルを手動で操作し、Microsoft 365の正規ログイン画面を中継して認証情報とMFA承認を窃取し、セッショントークンを取得した。

盗んだセッションは住宅用プロキシ経由で再利用された。Arctic Wolfによると、最も顕著に使われたのは「NodeMaven」で、被害者と同じ国・同じISP（ASN）のIPアドレスからサインインが行われるため、地理的な異常として検知されにくい。初期サインインでは「My Signins」「My Profile」「My Apps」「OfficeHome」など、アカウント情報を表示するアプリが使われた。

侵入後、攻撃者はエンドポイントへのマルウェア配備やネットワーク内の横展開を行わず、クラウド上のデータそのものを狙った。SharePointではcontentclass:STS_Siteやcontentclass:STS_Web、indexdocidを用いた検索クエリでサイト構造を把握し、SharePointとOneDriveではFileAccessedやFileDownloadedの大量発生、ExchangeではMailItemsAccessedを用いたメールの一括収集が確認された。窃取時の通信は当初はデータセンター系IPが多かったが、最近はサインインと同じ住宅用プロキシに移っているという。

恐喝段階では、盗んだデータを人質に金銭を要求した。Arctic Wolfは、BlackFile、Pink、Helix、Cinder、Redactといった名義が同一クラスター内で観測され、ブランドが頻繁に変わる点を指摘している。Cinderについては、リークサイトに掲載された被害組織がPinkの被害と重なることから、Pinkからのリブランドの可能性があると中程度の確度で評価している。

狙われた組織とインフラ

Arctic Wolfがサブドメインを分析したところ、実在企業を偽装した誘導ドメインが数百件見つかり、標的は米国を中心に、建設・エンジニアリング、医療・製薬、不動産・施設管理、金融、専門サービスに集中していた。

誘導ドメインの例としてassignpasskey[.]comやmfaregister[.]com、nowsso[.]comなど、パスキー登録やMFA登録を装う名称が挙げられている。パネル側のインフラとしては31[.]42[.]184[.]213、窃取時の利用ASNとしてAS51582やAS23470などが報告された。住宅用プロキシとしてはDATAIMPULSEやLUMINATI、MASSIVE、PROXYRACK、SOAXなど複数のブランドが観測された。

重要

どう検知し、どう守るか

Arctic Wolfは検知の手がかりとして、住宅用プロキシやホスティング系IPからのサインイン、とりわけ「My Signins」など特定のクライアントアプリがセッション冒頭に連続するパターンを挙げている。普段のサインイン履歴と比べて場所やISP、OS、ブラウザ、ユーザーエージェントが異なる場合も警戒すべき兆候だとしている。

同社はSharePointのSearchQueryPerformedでcontentclass:STS_Siteなどを含む検索や、MailItemsAccessedでClientAppId: 9199bf20-a13f-4107-85dc-02114787ef48とAPI ID: c999ed3e-27ae-4cb3-b3a2-46b056af63d3の組み合わせが高頻度で発生する場合は、プログラムによる一括収集の可能性が高いと指摘している。SharePointやOneDriveで短時間に大量のFileAccessedが発生し、ユーザーエージェントがpython-requestsやMicrosoft.Graph.Clientである場合も同様だ。

防御策としてArctic Wolfは次の点を推奨している。

• 管理された端末の必須化: Microsoft 365へのアクセスに準拠デバイスを要求するConditional Accessを適用し、攻撃者インフラからのセッション再利用を防ぐ
• プロキシや匿名化サービスの制御: プロキシやホスティング事業者のIP帯をブロックするか、ステップアップ認証を要求する
• 耐フィッシングMFAの導入: FIDO2セキュリティキーやデバイスに紐づくパスキーなど、AiTMで中継できない方式へ移行する
• SharePointのアクセス範囲の限定: 部門ごとのグループ制御や機密ラベルの付与で、1アカウントがアクセスできるデータ量を抑える
• Continuous Access Evaluationの有効化: リスク変化時にセッションを即時無効化できるようにする
• 従業員教育: 社内ITが突然電話でパスキー登録を求めることはないという原則を徹底し、不審な電話は別経路で確認する

同社は、エンドポイントにマルウェアを残さないため従来の端末対策だけでは検知が難しく、SaaS側のログとサインイン履歴の監視が欠かせないと強調している。

出典

• Arctic Wolf「2026-09-03: Cloud Data Theft and Extortion via IT Help Desk Vishing and Residential Proxies」（2026年9月3日、Wolf Tools） https://raw.githubusercontent.com/rtkwlf/wolf-tools/main/pack_alerts/202609-cloud-data-theft-extortion-vishing-proxies/README.md
• Google Cloud Threat Intelligence「UNC6671: Microsoft 365 Data Theft and Extortion」（参考） https://cloud.google.com/blog/topics/threat-intelligence/unc6671-microsoft-365-data-theft-extortion/