Oktaユーザーが標的に：フィッシングキットで巧妙化するビッシング

yab

2026.01.26

Oktaユーザーが標的に：フィッシングキットで巧妙化するビッシング、多要素認証も容易に突破

Help Net Security – January 23, 2026

脅威アクターがフィッシングキットを使用して被害者のブラウザに表示されるページをリアルタイムで制御し、ビッシングによる企業や組織への侵入成功率を高めている模様。Oktaの研究者によると、少なくとも2つのカスタムフィッシングキットがサービスとして販売されており、Google・Microsoft・Okta・各種暗号資産サービスプロバイダーを標的とする侵入者が使用しているとのこと。

ビッシングは攻撃者の視点では以下のように展開する。

ターゲットとなる個人を調査し、氏名・使用アプリ・登録したITサポートの電話番号を特定
カスタムフィッシングページを作成し、電話番号を偽装してITヘルプデスクを装い、ターゲットに架電
セキュリティ要件（パスキーの設定、アカウントセキュリティの確認など）を理由に、ターゲットをフィッシングページへ誘導
ターゲットが入力したユーザー名とパスワードをTelegram経由で攻撃者に転送
攻撃者側は正規サインインページに傍受した情報を入力し、多要素認証の入力画面に移行
攻撃者が被害者に多要素認証の存在を予告し、被害者側のフィッシングサイトを更新して正規サインインページと同じ多要素認証チャレンジを表示
被害者が入力した認証要素を収集しつつ、安心感を与える内容の通知（「セキュリティチェックに成功しました」など）を被害者側のページに表示

攻撃者は通話内容と被害者側に表示する偽サインインページを同期することで、フィッシングに耐性のない多要素認証（SMSまたは音声式ワンタイムパスワード、プッシュベースのMFA、アプリ内の時間ベースワンタイムパスワード）を攻略できる。このような攻撃に耐性のあるMFAの例として、FIDO2のWebAuthn、パスキー、PIVのようなスマートカード、証明書ベースの認証などが挙げられる。また、ソーシャルエンジニアリングで使用される匿名化サービス経由のアクセスをブロックすることも効果があるそう。

従来の脅威アクターは、一般的なアイデンティティプロバイダー（Google、Microsoft Entra、Oktaなど）や暗号資産プラットフォームをまとめてターゲットにした機能を有するキットのアクセス権を販売していたが、今後は被害者が使用するサービスごとにカスタマイズされたパネルへのアクセス権が販売されると推測されている。

Oktaアカウントを狙うこうした攻撃の一部には、恐喝グループ「ShinyHunters」が関与している疑いが報じられている。この報道の直後にShinyHuntersと接触したというセキュリティ企業のHudson Rockによると、同グループはOkta SSO認証情報を窃取し、Crunchbase（ビジネスインテリジェンス企業）とBetterment（米国の金融アドバイザリー会社）にアクセスしたと主張しているという。ただし、現時点で両社は主張内容を確認していないとのこと。