最近Appleユーザーを狙った「MFA Bombing」攻撃

 (krebsonsecurity.com)
1 ポイント 投稿者 GN⁺ 2024-03-28 | 1件のコメント | WhatsAppで共有
  • Appleのパスワードリセット通知が大量に繰り返し表示され、一部のユーザーは端末を正常に使うのが難しいレベルのフィッシング攻撃を受けた
  • 攻撃者は通知の大量送信の後、Apple Supportの発信者番号を偽装して電話し、アカウント保護手続きのように装ってワンタイムコードを要求する
  • Parth Patelの事例では、PeopleDataLabsにあった不正確な別名まで悪用され、Apple IDのリセットコードを渡すとアカウントのロックや端末のリモート消去につながる可能性がある
  • ChrisとKenの事例は、アカウントに登録された電話番号が攻撃フローの重要な手がかりになり得ること、またApple Recovery Keyだけではリセット通知の送信を防げないことを示している
  • 緩和策として、あまり知られていないVOIP番号やメールエイリアスを使う方法が挙げられるが、実際の携帯番号を外すとiMessageとFacetimeが無効になる可能性がある

Appleのパスワードリセット通知を悪用したMFA疲労攻撃

  • 最近、複数のAppleユーザーがMFA BombingまたはMFA fatigue攻撃を受けている
  • この攻撃は、Appleのパスワードリセット機能にあるバグのように見える挙動を悪用する
    • 標的のApple端末に数十件のシステムレベル通知が表示される
    • ユーザーは各通知でAllowまたはDon’t Allowを押さなければならない
    • 通知が積み重なると、端末の使用そのものが妨げられる状況が生じる
  • 攻撃者は、ユーザーが繰り返しの要求に疲れて誤ってAllowを押したり、電話の利用を取り戻すために承認したりする可能性を狙う
  • すべての通知を拒否した後には、Apple Supportに見えるよう発信者番号を偽装した電話が続く
    • 電話番号は、Appleの実際のカスタマーサポート番号である1-800-275-2273と表示されることがある
    • 詐欺師は、アカウントが攻撃を受けているとして、ワンタイムコードの確認が必要だと説明する

Parth Patelの事例: 通知の大量送信に続く偽サポート電話

  • Parth Patelは3月23日、Twitter/Xで自身を狙ったフィッシングキャンペーンを記録した
  • 彼のApple Watch、ノートPC、スマートフォンに同時に通知が殺到し、100件を超えるパスワードリセット通知を拒否しなければならなかった
  • すべての通知を拒否した後、iPhoneにはApple Supportからのように見える電話がかかってきた
  • 詐欺師は、Patelが本人情報の確認を求めると正確な個人情報を提示したが、実際の名前は言い当てられなかった
    • 詐欺師が口にした名前は、PatelがPeopleDataLabsのバックグラウンドレポートでしか見たことのない不正確な別名だった
    • Patelは複数の人物検索サイトから自分の情報を削除しようとしていたが、PeopleDataLabsではその別名が消費者プロフィールに残ったままだったと述べている
  • 音声フィッシングの目的は、Apple IDのリセットコードをユーザーの端末に送らせ、そのワンタイムコードを聞き出すことにある
    • ユーザーがコードを伝えると、攻撃者はアカウントのパスワードをリセットしてユーザーを締め出せる
    • その後、ユーザーのApple端末をリモート消去することも可能だ

電話番号が攻撃の手がかりである可能性

  • 暗号資産ヘッジファンドのオーナーであるChrisも、2月末に同様のフィッシングの試みを受けた
  • 最初の通知をDon’t Allowで拒否した直後、約30件の通知が連続して届き、その後も数日間リセット通知が続いた
  • Apple Supportからのように見える電話も受けたが、Chrisは自分からかけ直すと言って切った
    • 実際にAppleへ電話した際、Appleは直前にサポート通話があったかどうかを確認できなかった
    • Appleは、顧客が連絡を依頼しない限り先に電話をかけることはないと案内した
  • Chrisはパスワードを変更し、Apple Storeで新しいiPhoneを購入したうえで、新しいメールアドレスで新しいiCloudアカウントを作成した
  • しかし、Apple Genius Barに座っている間も、新しいiPhoneと新しいiCloudアカウントにシステム通知が届き続けた
    • Chrisは、新しいアカウントで変わっていない唯一の要素がアカウントに登録された電話番号だったと見ている
    • 攻撃者がAppleのシステム通知を素早く発生させるには、標的のAppleアカウントの電話番号を知っている必要があるのではないかと疑っている

Recovery Keyでも止まらなかったKenの通知

  • セキュリティ業界の経験があるKenは、今年初めからApple端末で望まないシステム通知を受けていたが、ほかの事例と違って偽のAppleサポート電話は受けていない
  • ある時は深夜0時30分にApple Watchの通知で起こされ、WatchではAllowが先に表示され、Don’t Allowを押すにはホイールをスクロールする必要があった
  • Allowを押しただけで攻撃者がKenのパスワードを変更できるわけではない
    • Allowを押すと、Kenの端末にはパスワード変更に必要な6桁のPINが表示される
    • 繰り返されるリセット通知は、その後のAppleを装う電話をよりもっともらしく見せるために使われているようだ
  • Kenは実際にAppleサポートへ連絡し、上級AppleエンジニアからApple Recovery Keyを有効にすれば通知は止まると案内された
  • Apple Recovery KeyはApple IDアカウントの安全性を高めるためのオプション機能で、ランダムな28文字のコードだ
    • 有効化すると、Appleの標準的なアカウント復旧手順は無効になるとされている
    • Recovery KeyとすべてのApple端末を失うと、アカウントから永久に締め出される可能性がある
  • KenはRecovery Keyを有効にしたが、それでも数日おきにすべての端末へ不要なシステム通知が表示され続けた
  • テストの結果、Recovery Keyを有効にしてもiforgot.apple.comからApple端末へパスワードリセット通知を送るフローは止められなかった
    • このページではメールアドレスとCAPTCHAの入力が求められる
    • その後、アカウントにひも付いた電話番号の下2桁が表示される
    • 残りの数字を入力して送信すると、Recovery Keyの有効化有無に関係なくシステム通知が送信される

レート制限への疑問と過去のMFA Bombing事例

  • ユーザーが最初の要求にも応答していないのに、数分の間に数十件ものパスワード変更要求を送れる認証システム設計には疑問が残る
  • Appleはコメント要請にまだ応じていない
  • 2022年、犯罪ハッキンググループLAPSUS$はMFA Bombingを使い、Cisco、Microsoft、Uberへの侵入で効果を上げた
  • Microsoftは対策としてMFA number matchingの導入を進め始めた
    • ログインを試みるユーザーに数字の配列を表示する
    • アカウント所有者は、モバイル端末のMicrosoft Authenticatorアプリにその数字を入力してログイン確認を完了しなければならない
  • セキュリティ研究者のKishan Bagariaは、Apple側に問題があると見ている
    • 彼は2019年にAppleへAirDoSバグを報告した
    • このバグは、AirDropのファイル共有プロンプトを近くのiOS端末に無限に表示させることができた
    • Appleは2019年12月にこのバグを修正し、関連するセキュリティ告知でBagariaに謝意を示した
    • Bagariaによれば、Appleの修正はAirDrop要求により厳格なレート制限を追加する方式だった
  • 誰かがAppleのパスワードリセット要求のレート制限を回避する方法を見つけた可能性があり、正式に報告すべきAppleのレート制限バグかもしれない

ユーザーが試せる緩和策

  • Appleアカウントには電話番号が必要なようだが、アカウント設定後は必ずしも携帯番号である必要はない
  • テストでは、AppleはGoogle VoiceのようなVOIP番号を受け入れている
    • あまり広く知られていないVOIP番号にアカウントの電話番号を変更する方法は、緩和策になり得る
  • ただし、実際の携帯番号を含めない場合、その端末ではiMessageとFacetimeが無効になる
    • Apple端末全体の攻撃面を減らしたいユーザーにとっては、これが利点になる可能性もある
    • iMessageとFacetimeのゼロクリック・ゼロデイは、スパイウェアベンダーによって繰り返し利用されてきた
  • Appleのパスワードリセットシステムは、メールエイリアスを受け入れ、その扱いを尊重しているようだ
    • ユーザー名の後ろに+とサイトごとの表記を付けることで、同じアカウントに接続された固有のメールアドレスを作れる
    • たとえばkrebsonsecurity+example@gmail.comのような形式が可能だ
    • Apple向けのエイリアスには、+appleのように目立ちすぎる表記より、もう少しobviousでないエイリアスのほうがよいかもしれない

関連記事

1件のコメント

 
GN⁺ 2024-03-28
Hacker Newsのコメント

  • 記事と上位コメントでは重要な点が抜けている: 誤って Allow を押しても、攻撃者が自分のブラウザでパスワードを変更できるわけではない
    デバイスで Allow を押すと、そのデバイスに6桁のPINが表示され、そのPINを使って本人のデバイス上でパスワードを変更できる。この攻撃の最終段階は、攻撃者が偽装したAppleの電話番号で電話をかけ、その6桁のPINを読み上げるよう求めることだ。その着信でそのPINを攻撃者に伝えてしまうと、攻撃者は自分のブラウザでパスワードをリセットできるようになる
    Krebsがセキュリティブログでこの小さな詳細を省き、まるで寝ている間にアカウントへの完全なアクセス権を明け渡してしまうかのように確認したように見えるのは意外だ

    • 記事の最初の段落にすでにこう書かれている:

      Assuming the user manages not to fat-finger the wrong button on the umpteenth password reset request, the scammers will then call the victim while spoofing Apple support in the caller ID, saying the user’s account is under attack and that Apple support needs to “verify” a one-time code.

    • 記事中にもある:

      Ken didn’t know it when all this was happening (and it’s not at all obvious from the Apple prompts), but clicking “Allow” would not have allowed the attackers to change Ken’s password. Rather, clicking “Allow” displays a six digit PIN that must be entered on Ken’s device — allowing Ken to change his password. It appears that these rapid password reset prompts are being used to make a subsequent inbound phone call spoofing Apple more believable.

    • その通りで、知っておく価値はあるが、それでも十分に合理的な人でもだまされ得るように見える。単に80代の高齢者だけの問題ではない
      たとえだまされなくても、Appleがこうした要求に レート制限 をかけるだけで防げる深刻な迷惑がある。短時間に何百件も送れる理由がわからない

  • 「最近」と言うには微妙だ
    2021年、遅くとも2022年には、私と妻が数日違いで同じことを経験した。最初は1日に数回で、後には1時間おきに来るように増えた。Appleから来たように見えるSMSも、私たちは2人とも何度か受け取ったと思う
    急増し始めた時点で、両方のアカウントに リカバリキー を設定した。もともと、AppleであれAppleに圧力をかけるか掌握した誰かであれ、私たちのアカウントにアクセスできてはならないという理由で計画していた対策だった。これで攻撃はすぐに止まった
    同様の理由で、高度なデータ保護が出るとすぐ有効にし、Webアクセスも無効にした。信頼済みデバイスだけがデータを見られ、新しいデバイスの登録も信頼済みデバイスからしかできない

    • Recovery Key が何かわからなかったが、この文書のことだった: https://support.apple.com/en-us/109345
      これもかなり怖い。キーを失くすと、誰もアカウント復旧を手伝えない
    • リカバリキーを使うと問題が止まったというのは興味深いが、今はその役割を果たしていないようだ
      記事によれば「Ken said he enabled a recovery key for his account as instructed, but that it hasn’t stopped the unbidden system alerts from appearing on all of his devices every few days.
      KrebsOnSecurity tested Ken’s experience, and can confirm that enabling a recovery key does nothing to stop a password reset prompt from being sent to associated Apple devices.」
    • 手口そのものは最近のものではないが、これを多くの人に使う 最近のキャンペーン のように見える。誰かが最近の流出ダンプから漏えいしたパスワードの一覧を手に入れ、そこにあるAppleアカウントを片っ端から試している可能性が高い
    • YubiKeyをいくつか、最低でも3つ買って、Apple ID認証にこの間抜けなプッシュ型多要素認証の代わりとして使うのがよい
      https://support.apple.com/en-gb/HT213154
    • こういうものには当然 レート制限 があるべきで、ないのは驚きだ。2回ほど試したら15分に1回、その次は1時間、4時間、1日という具合に間隔を伸ばすべきだ。ログイン失敗の試行と同じように扱えばよい

  • Allowを押した後に別のデバイスでパスワードのリセットが可能になるのだとしたら、そのメッセージは設計がひどい。文言は明らかに Use this iPhone to reset となっているので、Allowを押した人は同じデバイス上で新しいパスワードを設定する流れだと思ったはずだ
    しかもApple Watchにも出るのなら、静音モードを無視する単なる電話通知のミラーリングではないということであり、時計でAllowを押してそのキーボードでパスワードを入力しろという意図だとは想像しにくい

    • Allow を押すこと自体には危険はないと思う。その後にも2段階認証があり、新しいパスワードも選ばなければならない。危険はすべて電話のやり取りにあり、そこで2段階認証コードをだまし取ろうとしているように見える
    • 90歳の母がiMacのパスワードを忘れたとき、この機能には本当に助けられた。私が2つ目の管理者アカウントを作っておいたことも忘れていた
      iMacでロックされた後でもiPadには入れたので、リセットできた。iPadのPINも母は忘れていたが、幸い書き留めておいたものが見つかった

  • ある時点からは、Appleデバイスでこうしたプロンプトを表示できるという事実そのものが問題なのではないかと思う。昨年話題になったBluetoothベースの新規デバイス設定プロンプトのようなものも同じだと思う。
    もちろんパスワードのリセット自体は可能であるべきだが、記事を見る限り、短時間に30回のパスワードリセット要求を送ることが可能なようだ。
    これが悪意のない状況で起きる理由が、いったい何かあるだろうか?

    • ない。単にそうした確認ロジックを追加していなかっただけだ。だからといって必ずしもAppleを強く非難すべきという話でもない。
      振り返れば当然に見えるが、スプリント、OKR/KPI、昇進資料の狭間では、こうした地味な機能は簡単に抜け落ちうる。

  • こうした電話のもう1つの目的が、説得力のある音声クローンを作れるだけの十分なサンプルを集める段階に達するまで、どれくらいかかるのか気になる。

    • すでに、誰かに「yes」と言わせ、その録音を何らかの契約に同意した「証拠」として使おうとする亜種がある。
    • 「hello?」を100回言ったからといって音声クローンができるとは思わない。だが、音声クローンに必ずしも多要素認証爆撃が必要なわけでもない。
      もっともらしい理由で電話をかけ、長く会話させればよい。たとえば「Uber/Doordashの配達員です」「病院/学校/保育園です」といった具合だ。
    • だからこそ、電話や電話番号でユーザーを認証してはいけないもう1つの理由になる。いわゆる音声識別やvoice IDも、高度な音声クローンで簡単に破られうる。

  • 混乱している。Allowを押すと、その次に正確には何が起こるのか? AppleがiForgotウェブサイトにいる相手にパスワードリセット用フォームを表示するのか、それともデバイスにだけ表示されるのかが分からない。

    • デバイスに確認コードが表示されるようだ。その後、詐欺師が電話をかけてきて、そのコードを聞き出そうとする流れだ。

  • iPhoneにはApple Supportからの電話のように表示され、番号もAppleの実際のカスタマーサポート番号である1-800-275-2273だった、という部分がある。
    私も一度だけ経験したが、オンラインのApple Storeで新しいMacBookを注文してから2日後のことだった。配送を待っている最中だったので、危うく信じるところだったが、その代わり自分でApple Supportに電話して、たった今電話したかを確認し、違うと言われた。

    • 新モデルが出た直後に注文したのか、それとも注文直後に電話したのがたまたまうまく当たっただけなのか気になる。

  • Instagramにも同じ問題がある。こういう大企業がアカウント復旧フローに頻度制限を設けていないなんて、信じがたい。

    • 頻度制限を追加するときの問題は、特にユーザーごとのグローバル制限をかける場合、今度は人々がアカウントを復旧できないように妨げる新たなサービス拒否問題が生じることだ。

  • 数日前から私のLinkedInアカウントにもこういうものが来ている。数時間おきにマジックログインリンク入りのメールが届き、世界中のさまざまな地域から送られているように見え、正規のものに見える。

    • 私も昨日経験し、最初は慌てたが、LinkedInアカウントに紐づいたメールアドレスさえ分かればワンタイムパスワードを要求できると知った。なので、パスワードが漏えいしたわけではなかった。
      それでもパスワードとメインのメールアドレスを変更し、LinkedInのプライバシー設定でメール公開も削除した。
    • 私にもこういうものが来る。すでにTOTPやPasskeyなど複数の形式の2段階認証を使っているので、アカウント側でこの機能を無効にできるとよいのだが。
    • 私の場合はUberだった。

  • プッシュ多要素認証は最初に出てきたときから嫌いだった。
    コードを1つ入力するのが、そんなに難しいことなのだろうか。結局、プッシュ爆撃を防ごうとすると、再びコードを要求するプッシュ通知に戻ることになる。

    • Apple IDの多要素認証には、その代わりにHSMを使うこともできる。私もこの目的のために複数の場所にYubiKeyを3本置いている。
      https://support.apple.com/en-gb/HT213154
    • 少なくともiCloudログインでは、パスワードリセットもそうかは確認するのが面倒だが、Allowを押してもログインが許可されるわけではなく、ログイン時に入力する6桁のコードが表示されるだけだ。