AIが企業メール詐欺を大規模化する方法
2つの新しいAI駆動型フィッシングキット、TokenLoverとYaksaLoverが、デバイスコード認証、トークン窃取、Windows Hello永続化を悪用して企業メール詐欺を自動化しています。これらはフィッシング・アズ・ア・サービスのダッシュボードを提供し、スキルの低い攻撃者でも大規模な高度なキャンペーンを実行できるようにします。
最近のインシデント対応調査で、私たちはこれまで見たことのない2つのAI駆動型フィッシングキットを発見しました。これらは企業メール詐欺（BEC）の状況を変えつつあります。これらのキットは、攻撃者がAIを利用して開発を加速する方法を示すだけでなく、フィッシング・アズ・ア・サービス（PhaaS）が複雑な攻撃能力を低スキルの攻撃者に提供する方法を明らかにしています。
2つのキットは、TokenVault // 2026（TokenLoverと呼称）とYakhub/Yaksha（YaksaLoverと呼称）と名付けられています。外見上は、価格ページ、機能比較表、運用ダッシュボードを備えた正当なSaaS製品のように見えます。しかし、実際には盗まれたMicrosoft 365 IDを管理するためのコンソールであり、多層ユーザー、サブスクリプション期限監査、セッションセキュリティアラートをサポートしています。
これらのキットは新しい技術を導入しているわけではありませんが、既知の脆弱性を悪用する方法を工業化しています。攻撃の流れはデバイスコードフィッシングから始まります。攻撃者は正当なMicrosoft OAuthデバイスコードリクエストを生成し、それを餌に被害者に送信します。被害者は実際のmicrosoft.com/deviceloginにアクセスし、コードを入力してMFAを完了します。キットは自動的にトークンをキャプチャし、直ちに次のステップを開始します。
重要な進展は、ブローカークライアントID（29d9ed98-a469-4536-ade2-f981bc1d605e）の使用です。これによりデバイス登録が可能になり、プライマリリフレッシュトークン（PRT）が取得できます。PRTは90日間有効な長期認証情報であり、登録されたデバイスに結びついているため、被害者がパスワードをリセットしたりトークンを取り消したりしても機能し続けます。キットは次にFOCIピボットを使用して、単一のリフレッシュトークンをOutlook、Teams、SharePointなどすべてのMicrosoftサービスに拡張します。
最も懸念される機能は、Windows Hello for Businessキーの注入です。新しいトークンがキャプチャされるたびに、キットは自動的にRSA-2048鍵ペアを生成し、被害者のNGCキーとして登録します。これにより、キットはパスワードの代わりにそのキーを使用して新しいPRTを生成できるため、パスワード変更を回避できます。ダッシュボードには「パスワード変更生存率」メトリックが表示され、攻撃者は永続化の効果を評価できます。
さらに、キットはPRTやNGCキーをブラウザに注入可能なESTSクッキーに変換する複数の方法を提供し、MFAなしで被害者のアカウントに完全アクセスできるようにします。特に、Outlook Web Appのレガシークッキー認証を標的とするパスは、特定の条件付きアクセスポリシーをバイパスできます。
ポストエクスプロイテーションでは、キットはGraphRunnerを統合した自動化パイプラインを使用し、偵察、データ窃取、永続化、攻撃パスの実行を行います。これには、ディレクトリユーザーとグループの列挙、キーワードに一致するメールの抽出、悪意のあるOAuthアプリの登録、動的グループメンバーシップを利用した権限昇格などが含まれます。
YaksaLoverキットはメールクライアントを内蔵しており、AIを使用して盗んだメールボックスを分析し、支払いフロー、請求書、未払い残高を自動的に特定します。これにより、攻撃者は直接金融詐欺を実行できるようになります。
これらの発見は、脅威の状況が大きく変化したことを示しています。単一の熟練した攻撃者が一つの企業を標的にする時代から、数百人の低スキルオペレーターが利用できる自動化プラットフォームへと移行しています。防御側は、従来のパスワードリセットや多要素認証だけではもはや十分ではないことを認識し、デバイスIDとトークンのライフサイクルに対するより深い管理が必要です。