Oktaの脅威インテリジェンスチームは、脅威アクターがVercelの革新的な生成AIツール「v0」を悪用し、正規のサインインページを模倣したフィッシングサイトを開発していることを確認しました。
この観測結果は、生成AIを武器化する脅威アクターの手法が新たな段階へと進化していることを示しています。彼らは、簡単なテキストプロンプトから実用的なフィッシングサイトを生成できる能力を示しています。Oktaの研究者は、この挙動を再現することに成功しました。
Vercelが提供するAI搭載ツール「v0.dev」は、自然言語プロンプトを使ってWebインターフェースを作成できるものです。Oktaは、この技術が複数のブランドの正規のサインインページを模倣して構築する目的で使用されているのを確認しており、その中には Okta のお客様も含まれています。
さらなる調査により、なりすまし企業のロゴを含むフィッシングページのリソースも、Vercelのインフラ上にホスティングされていることが判明しました。脅威アクターは、フィッシングサイトのすべての要素を同一の信頼されたプラットフォーム内にホストすることで、サイトをより正規に見せようとします。これは、CDNログから抽出されたリソースや既知の悪質なインフラ上にあるリソースに基づく検出を回避する試みです。
Vercelは、特定されたフィッシングサイトへのアクセスを制限し、追加のフィッシングインフラを報告する方法についてOktaと協力しています。
観測されたアクティビティは、現在の脅威アクターが最新の生成AIツールを使って、フィッシング能力を効率化し強化しようと積極的に実験し、武器化していることを示しています。Vercelのv0.devのようなプラットフォームを使用することで、新興の脅威アクターは高品質で欺瞞的なフィッシングページを迅速に作成できるようになり、その運用のスピードと規模が増しています。
さらに、Vercelのv0.devプラットフォームに加え、複数のパブリックなGitHubリポジトリには、v0.devアプリケーションのクローンや、カスタムの生成ツールを構築するためのDIYガイドが公開されています。このようなオープンソースの広がりにより、高度なフィッシング手法が実質的に民主化され、攻撃者が独自のフィッシングインフラを構築するためのツールが提供されています。
Oktaの脅威インテリジェンスチームは、脅威アクターがVercelのプラットフォームを悪用し、Microsoft 365 や暗号通貨企業を含む正規ブランドになりすました複数のフィッシングサイトを作成・ホスティングしていることも確認しています。Oktaのお客様は、Security Trust Centerで詳細なセキュリティアドバイザリにアクセスできます。
お客様への推奨事項
この事象は、フィッシングの状況における重大な新たな攻撃経路を浮き彫りにします。生成AIツールがより強力かつ利用しやすくなるにつれ、組織とそのセキュリティチームは、AIによるソーシャルエンジニアリングや認証情報の収集攻撃という現実に適応していかなければなりません。
組織はもはや、ユーザーに対して「正規サービスを不完全に模倣したフィッシングサイトを見分けられるようにする」といった方法に依存できません。唯一信頼できる防御策は、ユーザーの認証器（Authenticator）を、登録時に使用した正規サイトと暗号的に結びつけることです。
これは、Okta Verify に組み込まれたパスワードレス手法「Okta FastPass」を支える技術です。フィッシング耐性がポリシーで強制されている場合、認証器は登録時に確立されたオリジン（ドメイン）以外のリソースへのサインインをユーザーに許可しません。簡単に言えば、ユーザーはフィッシングサイトに騙されて認証情報を渡すことができなくなるのです。
Okta脅威インテリジェンスチームは、以下の防御戦術を推奨します：
フィッシング耐性のある認証を強制する：Okta FastPass のようなフィッシング耐性のある認証を必須とするよう構成してください。これは、認証情報ベースの脅威に対するセキュリティ保証を強化します。古くて安全性の低い認証要素の無効化も優先してください。フィッシング対策の詳細は、Oktaのガイド（英語）をご覧ください。
アクセスを信頼できるデバイスに結びつける：認証ポリシーを使用して、カスタマー設定可能な条件に基づきユーザーアカウントへのアクセスを制限することができます。管理者は、Oktaに登録されたデバイスまたはエンドポイント管理ツールによって管理されているデバイスで、セキュリティポスチャが強いと評価されたものにのみ、機密アプリやデータへのアクセスを許可することを推奨します。これにより、盗まれた認証情報を持つ攻撃者が重要リソースへアクセスすることを防げます。
異常なアクセスに対してステップアップ認証を要求する：Okta Network Zones を活用して、ロケーション、ASN（自律システム番号）、IP、IPタイプ（既知の匿名プロキシかどうか）に基づきアクセスを制御できます。Okta Behavior Detectionを使えば、ユーザーのサインイン行動が過去のパターンから逸脱した場合に、ステップアップ認証を求めたり、アクセスを拒否したり、他のワークフローを起動することが可能です。
セキュリティ意識を高める：生成AIによる脅威を想定した社内のセキュリティ意識向上トレーニングを強化しましょう。
これらの脅威とその対策について詳しく知るには、Security Trust Center にあるOktaのお客様向けのセキュリティアドバイザリをご覧ください。
