ハッカー「PoisonSeed」、FIDOによる保護を弱体化させる新たなQRフィッシング手法を採用

佐々山 Tacos

2025.07.22

2025年7月20〜22日：サイバーセキュリティ関連ニュース

ハッカー「PoisonSeed」、FIDOによる保護を弱体化させる新たなQRフィッシング手法を採用

The Hacker News – Jul 21, 2025

FIDOキーによる保護機能を格下げすることが可能な新しい攻撃手法を、脅威アクター「PoisonSeed」が使用し始めているという。Expelの研究者らが実際のフィッシング攻撃キャンペーンの中で観測した。

FIDOとは、公開鍵暗号方式と生体認証を組み合わせたパスワードレスの多要素認証方式の1つ。認証に必要な秘密情報は認証を行う端末側のみに保存され、ネットワーク上での伝送やサーバー側での保存の必要はない。

フィッシング耐性を備えるFIDO認証だが、「クロスデバイスサインイン（クロスデバイス認証）」機能を悪用した中間者攻撃により、保護のレベルを低下させられることが今回Expelが観測した攻撃手法により明らかになっている。なおクロスデバイス認証とは、既にパスキーが登録されているスマートフォンなどのデバイスを使って、新しいデバイスでも同じサービスにログインできるようにする仕組みを指す。具体的には、PCなどの新しいデバイスでログインページにアクセスし、表示されたQRコードをパスキー登録済みのスマートフォンで読み取ってパスキーでの認証を行い、この認証が成功するとPCの方でも当該サービスへログインできるようになるというもの。

PoisonSeedによるものとされる今回の攻撃は、まずターゲット企業の従業員にフィッシングメールを送付するところからスタート。このメールにより、当該従業員を当該企業のOktaサインインページに見せかけたフィッシングサイトへ誘導する。従業員が偽物と気づかずにこのフィッシングページへユーザー名とパスワードを入力すると、フィッシングページは入力された認証情報を本物のOktaサインインページへリレーし、クロスデバイス認証によるログイン方式の使用を要求。本物のOktaページがこの要求に同意してQRコードを提示すると、攻撃者はこのコードをフィッシングサイトへリレーする。ターゲット従業員がこのコードを自らのスマートフォンで読み取ってMFAアプリでの認証を成功させると、攻撃者のデバイスでもログインが可能になるという。

ただ、この手法はすべてのシナリオで使用できるわけではなく、Bluetoothなどで両デバイスが近接しているかをチェックする認証フローが利用されている場合や、ハードウェアセキュリティキーが利用される場合などには無効となる。

Expelはまた、上記とは別のインシデントにおいて、攻撃者がフィッシングメールを通じてユーザーアカウントへ不正にアクセスしてパスワードを変更したのち、独自のFIDOパスキーを登録する事例も観測したという。

ユーザーアカウントをより効果的に保護するため、組織にはFIDO2認証を利用することに加え、ログインに使用されているデバイスを検証するチェックも併せて導入することが推奨される。またセキュリティチームは、不審なQRコードログインや新しいパスキーの登録に注意を払う必要があるほか、アカウント回復オプションにはフィッシング耐性のある方法を使用し、ログイン画面（特にクロスデバイス認証の場合）には、場所、デバイスの種類、または明確な警告表示など、ユーザーが不審な活動を検知するのに役立つ詳細情報を表示すべきとのこと。