UNC6040フィッシンググループ:Salesforceユーザーを標的にする新たな脅威

UNC6040フィッシンググループとは

Googleの脅威インテリジェンスチームは、Salesforceユーザーを標的にするフィッシンググループ「UNC6040」を暴露しました。このグループはITサポート担当者に成りすまして電話での社会工学攻撃を行い、英語を話す従業員をだまし、アクセス権限を得たり貴重な情報を共有したりするように仕向けています。UNC6040の活動には、SalesforceのData Loaderアプリの改ざん版が使用されており、被害者はこのアプリを承認してSalesforceポータルに接続し、アクセス権限を与えます。

社会工学的攻撃とは

社会工学的攻撃とは、人間の心理や行動を利用してコンピューターシステムやネットワークへのアクセスを得る手法です。UNC6040グループは、この手法を使用してSalesforceユーザーの個人情報や機密情報を盗み出しています。

UNC6040の攻撃方法

UNC6040グループは、ITサポート担当者に成りすまして電話での社会工学攻撃を行います。被害者は「My Ticket Portal」という名前で偽のSalesforce Data Loaderを承認するように説得されます。このアプリをインストールすると、被害者のSalesforce環境へのアクセス権が与えられ、機密情報にアクセスしてクエリを実行し、大量のデータを抽出して横方向に移動し、OktaやWorkplaceなどの他のクラウドサービスを標的にすることができます。

クラウドサービスとは

クラウドサービスとは、インターネットを通じて提供されるコンピューター資源やアプリケーションです。UNC6040グループは、Salesforce以外にもOktaやWorkplaceなどのクラウドサービスを標的にしています。

影響と対策

Googleによると、約20の組織が影響を受けており、一部ではデータの抽出とその後の搾取の試みが成功しています。組織は従業員にフィッシングやその他の社会技術的攻撃を認識して抵抗するためのトレーニングを優先すべきです。また、Salesforceも問題がプラットフォーム内の根本的な脆弱性から生じたものではないことを確認し、以前に顧客にそのようなフィッシング攻撃について警告しました。