ヘルプデスクを狙うソーシャルエンジニアリングと「Scattered Spider」型手法
確認時の注意：事例の報道内容や影響範囲は更新される可能性があります。公開時点の一次情報、公式発表、脆弱性情報を確認し、環境の所有者の承認とバックアップを準備してから対策を適用してください。
【背景と概要】
国際的なサイバー犯罪グループ（Scattered Spider等）をはじめとする攻撃者が、技術的なゼロデイ攻撃に頼るのではなく、「社内のITヘルプデスク」や「カスタマーサポート」を直接騙すソーシャルエンジニアリング手法を多用しています。
企業の社内インフラや認証基盤（Microsoft Entra ID、Okta等）が強固に固められていても、人間の担当者を電話やチャットで誘導し、パスワードの初期化やSMS/Authenticatorアプリの認証デバイス追加（MFAの登録変更）を行わせることで、正規の特権アクセスを難なく強奪する事例が急増しています。
【ヘルプデスク狙い（Scattered Spider等）の攻撃手口】
攻撃者は、公開情報（OSINT）と人間の「親切心・事態打開への焦り」を巧みに組み合わせて攻撃を展開します。
- LinkedInやSNSからの特定と情報準備
攻撃者はLinkedIn等を通じて、標的企業の「新入社員」や「休職中・出張中の社員」、あるいは「高権限を持つシステム管理者」の氏名、電話番号、所属部署、さらには社内プロジェクト名を事前にリサーチ・特定します。
- 電話（Vishing）やチャットでの「本人なりすまし」
ITヘルプデスクへ電話をかけ、「スマートフォンを紛失・破損したため、出張先からログインできなくなった。至急、新しい端末をMFA認証デバイスとして追加登録してほしい」と緊急性を装って依頼します。AIでクローンした本人の「声」や、盗み出した個人の生年月日・従業員番号などを提示し、担当者を信用させます。
- MFAデバイスのすり替えとセッション強奪
ヘルプデスクの担当者が本人確認を省略してMFA設定を変更してしまうと、攻撃者の手元にある端末が正当なMFA端末として登録されます。これにより、攻撃者はID・パスワードおよびMFAをすべてクリアし、正規ユーザーとして社内クラウドやVPNへ侵入します。
【なぜこの手法が防ぎにくいのか】
セキュリティソフト（EDRやWAF等）からは「ヘルプデスクの正規管理者が、管理コンソールから正当な手続きでユーザーのMFA設定を変更した」としか認識されないため、システム上の警告（アラート）が上がりにくく、侵入の発見が遅れやすいという構造的理由があります。
【ヘルプデスクを標的とする攻撃への防衛策】
「人による本人確認手順」の完全なルール化と二重チェックが不可欠です。
- 「電話やチャットだけ」でのMFAリセット・初期化の絶対禁止
ヘルプデスク担当者が単独の判断でMFAデバイスの追加やパスワードリセットを行うことを厳禁とします。
- 「別ルート（アウトオブバンド）」での多角的な本人確認フロー
本人確認の際、相手から与えられた情報だけで判断せず、直属の上司への折り返し確認（ビデオ通話での顔確認を含む）や、人事データベースに登録された緊急連絡先への直接確認を義務化します。
- ヘルプデスク専用の管理ログ監視（ITDR）
ヘルプデスクアカウントによる「MFAデバイスの新規追加」や「特権アカウントのパスワードリセット」が発生した際、セキュリティチーム（SOC）へ自動的に高優先度アラートが通知される監視ルール（ITDR）を構築します。