課題代行サービスに起因する、大学のアカウント乗っ取りリスク

エグゼクティブサマリー

Okta Threat Intelligenceは、大学生を標的とした恐喝キャンペーンを確認しました。

こうした活動は多くの場合「個別指導」や「試験監督」サービスを装っていますが、実際には高度なアイデンティティ窃盗や金融犯罪組織の温床となる課題代行ビジネスとして機能しています。

こうした恐喝キャンペーンは、まず学生を顧客として獲得するために、学内やオンラインで勧誘活動を展開していると見られます。

第三者が学生に代わって課題や試験などの学業タスクを完了させるために、学生は試験監督サービスや学内システムへのアクセスを仲介するよう求められ、場合によっては認証情報を共有することもあります。

そして、こうした第三者は不正行為を暴露すると学生を脅し、さらなる支払いを要求します。

恐喝者は、ケニアのVPN、レジデンシャルIPアドレス、モバイルIPアドレスからログインしていることが確認されています。

Okta Threat Intelligenceは、この不正活動を調査するため、シドニー大学のサイバーセキュリティオペレーションチームに所属するGlen Woolley氏、Andrew Tolhurst氏、Damien Mathieson氏をはじめ、複数の大学や専門家と連携してきました。

これは単に学問的誠実性の問題にとどまりません。学生の安全と行動規範、大学のセキュリティ境界、さらにはある研究機関が指摘するように国家安全保障に対する脅威でもあります。

こうした恐喝の手口は、米国、カナダ、オーストラリアをはじめとする英語圏の多数の大学に通う学生を標的にしています。一部の法域では、学業不正代行サービスを提供すること自体が違法とされています。例えば、オーストラリアでは課題代行が法的に禁止されており、ISPに対してこうしたサービスを提供する555件のWebサイトのブロックが命じられました。法域を問わず、暴露を盾に学生を恐喝する行為は違法です。

課題が代行業者によって完了されるプロセスそのものに起因して、大学はより広範なリスクにさらされています。攻撃者は学生のアカウントへのフルアクセスを要求しますが、これにはログイン認証情報の引き渡しや、多要素認証（MFA）チャレンジの承認、その他のリモートアクセスの許可が含まれる可能性があります。これにより、攻撃者は大学のネットワーク環境内に継続的な足場を確保することになります。

Okta Threat Intelligenceが追跡しているクラスターでは、恐喝から学生のアクセス権のその他の不正利用へと移行する動きは直接観測されていませんが、攻撃者がそのアクセス権を悪用・収益化して給与詐取などの目的を達成する可能性は考えられます。

Oktaは、こうした攻撃においてアイデンティティセキュリティが果たす重要な役割について、お客様、パートナー、ユーザーの皆様にご理解いただけるよう尽力しています。

課題代行から学生への恐喝への手口の発展

最小限の労力で学業を早く終わらせるために、学業上の課題を第三者に代行させる学生もいます。

CanvasやBlackboardなどの大学の学習アプリを介して、代行業者が学生に代わって課題を提出した後に初めて、このキャンペーンの恐喝フェーズが始まります。

例えば、学生が1つの課題に対して75ドルを支払ったとします。しかし課題が提出された後、攻撃者は大学に通報すると脅し、さらに1,000ドルの支払いを要求します。被害者が支払いに応じないほぼすべてのケースで、攻撃者は学生を通報します。攻撃者は学生との音声や動画のやり取りを記録しており、大学の管理者へメールを送信することもあります。

決定的な点として、恐喝者は被害者に対して弱みを握っています。アイデンティティ＆アクセス管理（IAM）のログには、第三者が学生のアカウントを使用している兆候が記録されている場合があります。IPログには「インポッシブルトラベル（不可能な移動）」が記録される可能性があります。これは、学生のアカウントへのアクセスが通常の現地から行われた直後に、物理的に移動することが不可能な別の地域からアクセスされたことを意味します。

おとりの手口：「学習サポート」という偽装

攻撃者はマルチチャネルのアプローチで標的を探し、特定の学生層に合わせて使用する言語やプラットフォームを使い分けることがよくあります。恐喝者は、期末試験や中間試験の期間など、プレッシャーのかかる時期に活動を活発化させます。

キャンペーンの目標

こうしたキャンペーンの主目的は金銭的利得であり、正規のアクセス権限を行使したログや証拠を盾に学生を恐喝することで達成されます。

観測された活動は、学生を危険な状況に陥らせようとする明確な意図を示しています。この状況で学生は、金銭の支払いを強要されるか、所属する教育機関からの処分を受けるリスクを負うことになります。

攻撃者によって収集されたデータ

攻撃者は恐喝を確実に成功させるため、可能な限り多くの個人情報を収集しようとします。具体的には、次のようなデータを収集します。

• 個人を特定できる情報（PII）：氏名、自宅住所、電話番号。

• 学内識別情報：学生番号や大学の公式メールアドレス。

• 学業に関する証拠データ：課題の出題指示、学生個人のノートやメモ、作成済みの課題、講義のシラバス。

• 存在証明：攻撃者が学生のポータル（Canvas、Blackboardなど）にログインしている様子の画面録画またはスクリーンショット

学生への恐喝にとどまらないリスク

大学などの高等教育機関は、金銭目的のサイバー犯罪グループにとって格好の標的となっています。Oktaでは、学生によって提供されたシステムへの永続的なアクセス権を恐喝者が悪用した場合、課題代行および恐喝を行う犯罪組織によって、教育機関がさらなる不正行為の危険にさらされるおそれがあると評価しています。

• 給与の不正搾取：学生が学内でも勤務している場合、学生ポータルへのアクセスに使用される認証情報が、給与システムへの不正アクセスにも悪用されるおそれがあります。給与アカウントにアクセスされると、攻撃者は給与支払いサイクルの前に銀行の振込ルーティング情報を変更し、学生の給与を攻撃者が管理する口座へ振り込ませることが可能になります。

• 奨学金詐欺：学生ポータルへのアクセスに使用される認証情報により、奨学金ポータルにもアクセスされるおそれがあります。これにより、学生ローン給付金の振込先を不正に変更されたり、学生名義で給付型奨学金が不正に追加申請されたりするリスクが生じます。

• フィッシングとスパム：攻撃者は、信頼性の高い「.edu」メールアドレスの優れたドメインレピュテーションを悪用してスパムフィルターを回避し、教職員や大学管理者を標的にすることで、より高権限のアカウントへのアクセス権獲得を試みる場合もあります。

• 研究データおよび知的財産の窃取：学生ポータルへのアクセスに使用される認証情報が悪用され、大学独自のデータベースや学術ジャーナル、防衛やバイオテクノロジーといった専門分野の機密性の高い研究データへのアクセスを許してしまうおそれがあります。

• 学生割引の不正利用：攻撃者が学生のアイデンティティを悪用し、学生割引で購入した製品やサービスを転売する可能性があります。

脅威対策

Oktaの取り組み

Oktaでは、この脅威を軽減するために以下の対策を講じています。

• 不審な活動を検知した際に、機関へ事前に通知します。
• Okta環境のセキュリティを強化するためのガイダンスや支援を組織に提供し、侵害された可能性のあるアカウントに関連する不審なアクティビティの調査を支援します。
• 高等教育機関とのワーキンググループを継続的に運営します。

検知

攻撃者が目的を達成するためには、恐喝行為を完遂するのに十分な期間、学生のアカウントに対する持続的なアクセス権を維持し続ける必要があります。

大学がOktaをアイデンティティプロバイダーとして利用している場合、不正なアカウント乗っ取りの証拠となり得る技術的な兆候がいくつかあります。

以下は、Oktaプラットフォームで利用可能な検知機能の概要です。

• 認証要素の再利用：攻撃者は、侵害した複数のアカウントのMFA要素として、同一の携帯電話などの物理ハードウェアを登録することがよくあります。アナリストがOktaのログを確認すると、同一のデバイス識別子に複数の学生アイデンティティが紐付けられているケースが見られる場合があり、これは複数のアカウント乗っ取りを示す強力な兆候です。Oktaでは、認証要素の再利用を検知するルールをCustomer Detection CatalogのGitHub（こちら）で公開しています。

• ユーザーが開始し、攻撃者が完了させたセッション：この挙動では、攻撃者がリモート環境から学生の認証情報を使用してログインを試みます。しかし、プッシュ通知などのMFAプロンプトは、学生によって通常のIPジオロケーションから承認されます。これにより、ルートセッションIDは不審なIPアドレスから生成される一方、認証成功のシグナルは信頼できるIPアドレスから送信されるセッションが確立されます。Oktaでは、このシナリオの検知方法をこちらで公開しています。

• インポッシブルトラベル（不可能な移動）：課題代行サービスと共有された学生アカウントでは、インポッシブルトラベルの兆候が頻繁に見られます。通常のキャンパス内からログインした直後に、ジオロケーションがケニア、インド、パキスタンと特定されたIPアドレスからログインが発生するという、インポッシブルトラベルのシナリオが日常的に観測されています。多くの場合、こうした異常なIPアドレスは、CanvasやBlackboardをはじめとする課題提出サイトにのみログインします。OktaのCustomer Detection Catalogには、新規デバイスの検知と組み合わせた、インポッシブルトラベル向けの検知ルールが用意されています。これら2つのシグナルが揃うと、アカウント乗っ取りの可能性を示す決定的な要因となります。

• プロキシサービスの意図的な使用：単なる杜撰な手口ではなく、攻撃者が不審なプロキシサービスやIPアドレスを意図的に利用している事例が観測されています。これは恐喝手口の一環であり、攻撃者は大学当局に不正アクセスの証拠を突きつけるため、意図的に「インポッシブルトラベル」を発生させています。インドや東アフリカをはじめとする想定外の地域からのIPアドレスによるアクセスは、アカウント乗っ取りの有力な兆候となります。Oktaでは、お客様が活用できるよう、プロキシ経由のサインイン試行を検知する脅威ハンティング用クエリをCustomer Detection Catalogで提供しています。

Oktaをご利用のお客様への推奨事項

• 認証要素登録ポリシーを活用し、特定の地理的ロケーションにおけるデバイス登録や、プロキシサービス経由の登録をブロックします。

• 以下の「ネットワークインジケーター」セクションに記載されているプロキシサービスを、動的ネットワークゾーンを利用してブロックします。

• 高リスクな場所や想定外の地域からのログインをブロックするか、ステップアップ認証を要求します。

ネットワークインジケーター

Okta Threat Intelligenceは、ケニアのIPから発信された不審なアカウントアクセスのパターンを観測しました。これらのIPは単一のASNに含まれているわけではありませんが、既知の不審なプロキシサービスに頻繁に関連付けられています。

• RAYOBYTE_PROXY

• NEXUS_PROXY

• PROXYRACK_PROXY

• IPCOLA_PROXY

• KOOKEEY_PROXY

• PLAINPROXIES_PROXY

• LUMINATI_PROXY

• 9PROXY_PROXY

• PROXYAM_PROXY

• IPIDEA_PROXY

• ABCPROXY_PROXY

• NETNUT_PROXY