エグゼクティブサマリー
Okta Threat Intelligence（OTI）は最近、重要なマイルストーンを達成しました。お客様に送信した不審なドメインに関する通知が10,000件目に達したのです。
この節目に、私たちがこの重要な業務をどのように、そしてなぜ行っているのかをご説明したいと思います。
また、こうした通知がいかにユニークであるかを証明するためにOktaが実施した調査についてもご紹介します。Oktaが特定し、これらのお客様への通知で共有している侵害の痕跡（IOC）の大半（80％超）は、その時点では他のサービスプロバイダーによって不審なものとしてマークされていませんでした。
Oktaが特別な努力を惜しまない理由
Oktaのビジョンは、誰もがあらゆるテクノロジーを安全に利用できるようにすることです。OTIはその目標を推進するために積極的な役割を果たしています。Oktaは世界最大の独立系アイデンティティプロバイダーとして、その立場に伴う責務を非常に重く受け止めています。
OTIは、脅威の調査、追跡、軽減を専門とする、さまざまな分野のセキュリティ専門家で構成されたチームです。お客様と幅広いコミュニティにインサイト、専門的なアドバイス、サポートを提供しています。
世界中の攻撃者は、高い脅威にさらされている業界の組織を常に狙っています。その動機は、金銭的利益から国家による諜報活動まで、多岐にわたります。Oktaは、世界で最もセキュリティ要件が厳しく、機密性の高い組織の一部から選ばれているアイデンティティプロバイダーとして、アイデンティティを狙った脅威を検知、追跡、軽減するうえで最適な立場にあります。
Oktaの調査は通常、攻撃者がユーザーをソーシャルエンジニアリングにかけるための大規模なキャンペーンの一環として構築したインターネットインフラを追跡することから始まります。また、お客様や、同じ問題に取り組む組織からも情報や手掛かりを得ています。互いに脅威インテリジェンスを共有したり受け取ったりすることで、脅威についての共通認識を深めています。こうした取り組みを、1つの組織だけで行うことはできません。攻撃者がどのように活動しているかという全体像の一端を各組織が把握し、それを共有することが極めて重要です。
Oktaが公開した調査には、Work Panelのような新しいオペレーター制御のフィッシングパネルや、VoidProxyのようなAitMフィッシングプラットフォームに関するものがあります。これらは、攻撃者のインフラストラクチャを列挙しただけでなく、こうした脅威がどのように機能するかを世界に説明するのに役立った調査の好例です。
セキュリティ通知
Oktaで最も一般的な不審なアクティビティに関する通知は、不審なドメインアクティビティと不審なユーザーアカウントアクティビティに関するものです。
不審なドメインアクティビティ
Oktaの保護する組織が標的にされていると確信を持って判断したドメイン登録またはインフラストラクチャ構成を特定した場合は、不審なドメインアクティビティに関する通知を送信します。Oktaでは、自社プラットフォームのテレメトリーに加えて、多数のオープンソースと商用ソースからのインテリジェンスを監視し、攻撃者がキャンペーンを開始する準備として構築した新しいインフラストラクチャを追跡しています。さまざまな情報が一致した場合は、キャンペーンが開始される前に、お客様に事前に警告を提供できます。
ドメインとサブドメインの関連性が明確な場合もあります。また、サイトに表示されるコンテンツやフィッシングページのDOMに含まれるコンテンツなど、お客様組織との関連性が巧妙に隠されている場合もあります。可能な場合は、お客様のセキュリティチームがサイトを独自に分析できるよう、ページのURLScan結果へのリンクを提供しています。
不審なアカウントアクティビティ
Okta Threat Intelligenceが、攻撃者に関連すると判断したインフラストラクチャとユーザーとのやり取りを確認した場合は、別途通知を送信します。「不審な」という言葉を使用しているのは意図的なものです。お客様の環境において、何が不審な活動に該当するかを、私たちがすべて把握できるわけではないためです。とはいえ、長年にわたるお客様のフィードバックから、こうした通知が実際に大きな効果をもたらしていることを確信しています。調査のきっかけとなる最初の情報として役立つ場合もあれば、進行中のインシデント対応に情報を提供する追加のシグナルとして役立つ場合もあります。お客様からは、Oktaの早期警告によって、攻撃者が被害を引き起こす前に対応できたというお声をよくいただきます。私たちのチームにとってこれ以上嬉しい言葉はありません！
こうした通知は、お客様がOktaサポートセンターで定義できる役割である「プライマリセキュリティ担当者」を通じてお客様に届きます。これらのメールは、セキュリティチームやアイデンティティチームが自身を保護し、不審なアクティビティを調査するために実行できる、実用的なインテリジェンス、侵害の痕跡（IoC）、およびアドバイスを提供するものです。入手可能な場合は、関連する攻撃者、キャンペーン、またはTTPに関する詳細を記載した脅威アドバイザリにリンクしています。
独自の脅威インテリジェンス情報源
当社が特定したインジケーターが悪意のあるものだと判断する理由について、よく質問を受けます。VirusTotalでは、当該ドメインやIPアドレスが悪意のあるものとして報告されないことが多いためです。VirusTotalは、幅広い脅威インテリジェンスやセキュリティベンダーの情報を利用する、信頼性の高い脅威インテリジェンスプラットフォームです。
OTIが特定し追跡するすべてのインジケーターは、Okta独自の脅威調査および研究の過程で特定されたものです。Oktaではこの分析を継続的に実行し、脅威アクティビティのクラスターを出現と同時に特定、追跡しています。その結果、アイデンティティに特化した独自の脅威インテリジェンスフィードが生成されます。
Oktaでは最近、OktaのIoC（侵害指標）とVirusTotalで入手可能なデータとを照合し、その独自性に関する分析を実施しました。お客様に通知した時点で、私たちが特定したインジケーターのうち、VirusTotalですでに悪意のあるものとしてフラグ付けされていたものの割合を把握したいと考えました。
結果は驚くべきものでした。Oktaが悪意のあるものと確認した指標の83%は、それまで他のどこでも検出されていませんでした。残りの14%は1～4件の情報源で検出されており、4件を超える情報源で検出されていたものはわずか3%でした。
Oktaの研究者が特定したインジケーターはOkta Identity Threat Protection（ITP）に送られます。これにより、Oktaのお客様は、既知の悪意のあるインフラストラクチャとユーザーがやり取りする際に、インラインで修復（SOCチケットの発行、パスワードのリセット、セッションの取り消しなど）を設定できるようになります。
しかし、取り組みはこれだけではありません。Oktaは、すべてのお客様のセキュリティを何よりも大切に考えています。どのOkta製品を購入されたかにかかわらず、お客様が標的になっていることを確認した場合、または攻撃者が標的にする準備をしていると判断するに足る理由がある場合は、お客様のセキュリティ一時窓口に通知します。2026年7月だけで、このような通知を736件送信しました。
いつでもサポートいたします
世界最大級のプラットフォームプロバイダーの多くと同様に、Oktaは責任共有モデルを明確に示し、Oktaのセキュリティ責任とお客様のセキュリティ責任の境界線を明確にしています。OktaはOktaプラットフォームのセキュリティに責任を負い、お客様は自社の組織（テナント）のセキュリティに責任を負います。
私たちが積極的に通知を行うことで、この責任範囲を少し越えることにはなりますが、完全に越えているとは考えていません。これらの検知は高い真陽性率を示しており、この5年間、多数のお客様にとって直接的に脅威の軽減につながってきました。これは、Oktaがとても誇りに思っている実績です。
Oktaがこうした攻撃者を追跡する方法については、その手法を常に開示できるわけではありませんが、Oktaから不審なアクティビティに関する通知が届いた場合は、それがOktaにとって最も大切な存在であるお客様を保護するために、専門チームが真摯に取り組んだ結果であることをご理解ください。
この調査にはDaniel Lopez氏が協力しました。
