警戒必須!OTPボットとフィッシングキットが2FAを脅かす

警戒必須!OTPボットとフィッシングキットが2FAを脅かす - innovaTopia - (イノベトピア)

OTPボットは、ソーシャルエンジニアリングを駆使してワンタイムパスワード(OTP)を盗むソフトウェアであり、被害者に電話をかけてコードの共有を促す。これらのボットは、特定の組織のユーザーを狙ったスクリプトから、コールセンターの機能を模倣するまで、多様な機能を持つ。管理はブラウザベースのパネルやTelegramボットを通じて行われる。

フィッシングキットは、2FAの普及に伴い進化し、リアルタイムでOTPを傍受するための管理パネルを備えている。これらのキットを利用した攻撃では、ログイン情報を入力後、フィッシングサイト上でOTPの入力を促す。詐欺師は管理パネルを通じて被害者からのデータをリアルタイムで閲覧し、即座に利用する。

2024年5月、Kaspersky製品はフィッシングキットによるサイトへのアクセス試行を69,984回、フィッシングページを1262回防止した。

2FAのバイパスを防ぐためには、不審なメールからのリンクを開かない、組織のアカウントにサインインする際はアドレスを手動で入力またはブックマークを使用する、電話中にワンタイムコードを共有しない、信頼できるセキュリティソリューションを使用してフィッシングページをブロックする、といった対策が推奨される。

【ニュース解説】

二要素認証(2FA)は、アカウントのセキュリティを強化するために広く採用されていますが、詐欺師たちはこのシステムを回避するために様々な手法を開発しています。特に、ワンタイムパスワード(OTP)を盗むために設計されたソフトウェア、いわゆるOTPボットの使用が増加しています。これらのボットは、被害者に電話をかけ、あらかじめ準備されたスクリプトに従ってコードの共有を促します。管理はブラウザベースのパネルやTelegramボットを通じて行われ、詐欺師はこれらのツールを使用して、被害者のアカウントにアクセスします。

また、フィッシングキットの進化により、2FAの普及に伴い、リアルタイムでOTPを傍受するための管理パネルが備わっています。これらのキットを使用した攻撃では、被害者がログイン情報を入力した後、フィッシングサイト上でOTPの入力を促されます。詐欺師は管理パネルを通じて被害者からのデータをリアルタイムで閲覧し、即座に利用することが可能です。

2024年5月の統計によると、Kaspersky製品はフィッシングキットによるサイトへのアクセス試行を69,984回、フィッシングページを1262回防止しました。これは、OTPボットやフィッシングキットがいかに広く使用されているかを示しています。

2FAをバイパスする詐欺師からアカウントを守るためには、不審なメールからのリンクを開かない、組甔のアカウントにサインインする際はアドレスを手動で入力するかブックマークを使用する、電話中にワンタイムコードを共有しない、信頼できるセキュリティソリューションを使用してフィッシングページをブロックする、といった対策が推奨されます。

このような攻撃の増加は、2FAが完全なセキュリティ対策ではないことを示しています。ユーザーは、セキュリティのために2FAを有効にするだけでなく、常に警戒し、セキュリティ意識を高く保つ必要があります。また、企業や組織は、ユーザーのセキュリティ教育を強化し、詐欺師が利用する手法に対抗するための対策を講じることが重要です。

from Bypassing 2FA with phishing and OTP bots.

ホーム » サイバーセキュリティ » サイバーセキュリティニュース » 警戒必須!OTPボットとフィッシングキットが2FAを脅かす