侵害されたアカウントとは
侵害されたアカウントとは、攻撃者が正当なユーザーのメールやシステムの認証情報に不正アクセスした状態を指します。いったん侵入すると、攻撃者は被害者の信頼された身元を使って不正なメッセージを送信したり、機密データを盗んだり、マルウェアを拡散したりできます。メールセキュリティにおいて、侵害されたアカウントはフィッシングやビジネスメール詐欺（BEC）攻撃の最も一般的な発生源の一つです。
送信者のアドレスを偽造するなりすましとは異なり、侵害されたアカウントでは実在する認証済みのログインが使われます。そのため、メールが検証済みのドメインや個人から届いたように見え、検出がより難しくなります。
アカウントが侵害されるしくみ
脅威アクターは、認証情報を入手したり認証制御を回避したりするために、次のようなさまざまな手口を用います。
- ユーザーをだましてログイン情報を入力させるフィッシングメール
- パスワードの使い回しや脆弱なパスワードポリシー
- 認証データを取得するマルウェアやキーロガー
- パッチ未適用のシステムや無防備なアクセスポイントの悪用
- 多要素認証（MFA）の欠如
アカウント侵害のリスク
アカウントが侵害されると、攻撃者はそれを悪用して次のようなことを行えます。
- 組織内向けのフィッシングメッセージや請求書を送信する
- 機密ファイルや顧客データにアクセスする
- 正当なヘッダーを使って認証システムを回避する
- 送信者レピュテーションを損ない、到達性の問題を引き起こす
多くの場合、メールボックスプロバイダーは異常な活動を検出し、アカウントを一時的に停止したりフラグを立てたりします。しかし、一元的な可視性がなければ、組織は被害が発生するまで侵害に気づかないことがあります。
侵害の検出と防止
予防策としては、強力なパスワードポリシーの強制、MFAの導入、不審なIPアドレスや送信挙動がないか認証ログを監視することが挙げられます。DMARCやSPFといったセキュリティフレームワークは、攻撃者が侵害されたアカウントを悪用して外部でドメインになりすますのを防ぐのに役立ちます。
侵害されたアカウントとDMARCeye
DMARCeyeは、アカウント侵害の兆候となりうるメール認証パターンの異常を特定します。送信元IP、DKIMセレクター、メッセージの発生源を分析することで、メールが認証チェックを通過している場合でも、不正または不審な活動を検出します。
この早期検出により、管理者はさらなる悪用が発生する前に、影響を受けたアカウントを隔離し、認証情報をリセットし、信頼を速やかに回復できます。
DMARCeyeの無料トライアルに登録して、メールドメインを保護しましょう。
DMARCおよび関連用語について詳しくは、DMARCeye用語集をご覧ください。