Microsoft Breach Exposed 60,000 State Department Emails 2023/09/29 InfoSecurity — Microsoft Outlook のアカウントを標的とした、中国の狡猾なサイバースパイ・キャンペーンにより、北京政府は数万通の米国政府の個人メールにアクセスすることができたと、あるレポートが報じている。Storm-0558 グループは、国務省の 10件のアカウントから、60,000 通の電子メールを盗み出したという。そのうちの９件のアカウントは、東アジア／太平洋の外交に携わる個人が使用していたものだと、上院スタッフが Reuters に語った。
Hackers stole Microsoft signing key from Windows crash dump 2023/09/06 BleepingComputer — 中国人ハッキング・グループ Storm-0558 は、Microsoft のエンジニアの企業アカウントを侵害した後に、Windows のクラッシュダンプから署名キーを盗み出し、政府機関の電子メール・アカウントに侵入していた。攻撃者は盗んだ MSA キーを使って、米国の国務省や商務省など含む、約 20の組織の Exchange Online／Azure Active Directory (AD) アカウントに侵入したとされる。Storm-0558 は、GetAccessTokenForResourceAPI のゼロデイ検証の問題を悪用し、署名されたアクセス・トークンを偽造し、標的である組織内のアカウントになりすましていた。
US cyber safety board to analyze Microsoft Exchange hack of govt emails 2023/08/11 BleepingComputer — 米国土安全保障省の CSRB (Cyber Safety Review Board) は、米政府機関で使用される Microsoft Exchange アカウントが、最近になって中国からハッキングされていることを受け、クラウド・セキュリティの実践について詳細な審査を実施することを発表した。CSRB は官民が協力する機関であり、重大な事象に対する理解を深め、根本的な原因を見極め、サイバー・セキュリティに関する情報に基づく提言を行うための、詳細な調査の実施を目的として設立された。
Microsoft Expands Cloud Logging to Counter Rising Nation-State Cyber Threats 2023/07/20 TheHackerNews — 7月19日 (水) に Microsoft が発表したのは、同社の電子メール・インフラを狙う最近のスパイ攻撃キャンペーンを受けて、ユーザー組織におけるサイバー・セキュリティ・インシデントの、調査を促進して可視化を高めるための、クラウド・ロギング機能を拡張するというものだ。同社は、国家に支援されるサイバー犯罪が進化し、また、攻撃の頻度が増加していることにダイレクトに対応するために、この変更を行うと述べている。この変更は、2023年9月から。すべての政府機関および民間企業の顧客に展開される予定だ。
Microsoft Admits Security Failings Allowed China to Access US Government Emails 2024/06/14 InfoSecurity — 2023年の夏に中国に支援されるハッカーが、米国政府高官の電子メールにアクセスしたインシデントについて、Microsoft の Brad Smith 社長はセキュリティ上の失策を認めた。2024年6月13日に開催された、米下院の国土安全保障委員会のメンバーへの証言で、Cyber Safety Review Board (CSRB) の報告書に記載された全ての問題に対して、Microsoft は “躊躇することなく” 責任を負うと、Smith 社長は述べている。
Microsoft reveals how hackers breached its Exchange Online accounts 2024/01/26 BleepingComputer — 2023年11月に Microsoft 幹部の電子メール・アカウントに侵入した、ロシア政府 Foreign Intelligence Service (SVR) のハッキング・グループが、悪意のキャンペーンの一環として他の組織にも侵入したことが確認された。Midnight Blizzard (別名 Nobelium／APT29) は、ロシアの SVR 傘下のサイバー・スパイ集団と考えられており、主に米国／欧州の政府組織／NGO／ソフトウェア開発者／IT サービス・プロバイダーを標的としている。
Microsoft Disrupts Cybercrime Service That Created 750 Million Fraudulent Accounts 2023/12/15 SecurityWeek — 12月13日に Microsoft は、CaaS (Cybercrime-as-a-Service) エコシステムである Storm-1152 の破壊を発表した。この CaaS は、7億5000万もの不正な Microsoft アカウントを作成して、数百万ドルの不正収益を上げていたと見られている。具体的に言うと、Storm-1152 のサービスにサポートされる、他のサイバー犯罪グループが、フィッシング／スパム／ランサムウェア／分散型サービス拒否 (DDoS) などの攻撃を行っているという。
US Cyber Safety Board to Review Cloud Attacks 2023/08/14 SecurityWeek — 8月11日 (金) に米国政府は、DHS (Homeland Security) のサイバー安全審査委員会 (CSRB：Cyber Safety Review Board) が、クラウド環境を標的とした悪意の攻撃に関する審査を実施すると発表した。このイニシアティブは、政府／産業界／CSP (Cloud Service Provider) に対して、クラウドにおける ID 管理と認証を改善するための、提言を行うことに重点を置くという。
China-Linked Hackers Strike Worldwide: 17 Nations Hit in 3-Year Cyber Campaign 2023/08/09 TheHackerNews — 中国の国家安全部 (MSS：Ministry of State Security) に関連するハッカーたちが、2021〜2023年にかけて、アジア／ヨーロッパ／北米などの 17カ国に攻撃を仕掛けてきたことが判った。サイバー・セキュリティ企業 Recorded Future は、この一連の攻撃について、RedHotel (以前は Threat Activity Group-22／TAG-222) として追跡している国家グループによるものであり、Aquatic Panda／Bronze University／Charcoal Typhoon／Earth Lusca／Red Scylla (または Red Dev 10) などの活動群と重複していると述べている。
Azure AD Token Forging Technique in Microsoft Attack Extends Beyond Outlook, Wiz Reports 2023/07/21 TheHackerNews — Microsoft のＥメールインフラに対する、中国の APT である Storm-0558 の攻撃だが、これまで考えられていたよりも、広範囲に及んでいることが、最近になって分かってきた。この攻撃の対象となっているのは、OneDrive／SharePoint／Teams などの個人アカウント認証をサポートする全てのアプリケーション、および、”Login with Microsoft functionality” をサポートするユーザー・アプリケーション、そして、特定の条件下でのマルチテナント・アプリケーションなどである。
Microsoft still unsure how hackers stole Azure AD signing key 2023/07/14 BleepingComputer — 中国のハッカーが、米政府機関を含む 20以上の組織の Exchange Online および Azure AD アカウントに侵入したが、そこで使用された非アクティブな Microsoft Account (MSA) のコンシューマー署名キーが、盗まれた方法は依然として不明だと Microsoft が発表した。7月14日に Microsoft が発表した最新アドバイザリには、「犯人が、このキーを入手した方法については、現在調査中である」と記されている。複数の政府機関の Exchange Online メール・サービスへの不正アクセスが発見された後に、このインシデントは米国政府当局により報告されている。
Chinese hackers forged authentication tokens to breach government emails 2023/07/11 HelpNetSecurity — Microsoft Account (MSA) のコンシューマ署名キーを取得した高度なハッカーが、偽造した認証トークンを介して、政府の組織や機関の電子メール・アカウントにアクセスしていたことが、Microsoft により公表された。このインシデントに関連付けられる脅威アクターは、Microsoft が Storm-0558 と呼ぶ、中国を拠点とする敵対者である。この脅威アクターは、情報収集のために電子メール・システムにアクセスする、スパイ行為に重点を置いているとされる。
IoT OT Security News 