365のテナントからスパムメールを送信することで、少数のプルーフポイントの顧客の電子メールインフラを通じて中継されているスパム攻撃キャンペーンを確認しました。分析の結果、この詐欺活動は1人のスパム詐欺犯によって行われたものであり、その活動は既知の攻撃エンティティに属するものではないと考えられます。365テナントからの送信メッセージのリレーを許可させ、許可するM365のテナントを指定しないことにあります。この問題を解決するために、プルーフポイントは、顧客が中継を許可するM365テナントをデフォルトで必ず指定するよう管理インターフェイスを変更しました。どのベンダーのメールインフラでも、このようにメールルーティング設定機能を提供するものは、詐欺犯に悪用される可能性があります。Essentialsをご利用のお客様は、このような不正中継の悪用を防止する設定になっているため、影響はありません。この問題により、プルーフポイントの顧客データは流出しておらず、またデータの損失も発生していません。プルーフポイントは、この問題のリスクを低減し、さらなる不正使用を防ぐために、今回の詐欺キャンペーンについてプルーフポイントが調査した結果を本ブログにて共有します。365のテナントから複数のプルーフポイントの企業顧客のメールインフラを通じて中継されていることを確認しました。365からの送信メッセージの中継を許可する、変更可能な構成設定でした。そのため、詐欺犯は、メールホスティングサービスから自社のインフラを通してメッセージを中継することを許可しているあらゆるメールインフラを悪用することができます。365テナントから送信されるメッセージを、顧客のインフラを経由してリレーすることを許可しており、かつリレーを許可するMicrosoftテナントを制限していなかったことに起因します。プルーフポイントはこのスパムメールの送信者を既知の攻撃グループにはアトリビューションしていません。365のテナントを管理し、23gdfs56gsd.onmicrosoft.comのようなランダムな文字列を使用していました。一部のスパムメールは送信者アドレスを偽装しようとせず、送信ドメインとしてマイクロソフトの奇妙な名前のテナント名を使用していました。"フィールドに使用したスパムメールや、送信者の電子メールを偽装したスパムメールもありましたが、そのすべてが正常に配信されたわけではありません。興味深いことに、このスパムメールの配信は複数のプルーフポイントのインフラに対して試されましたが、いくつかはリレー用のメッセージを受け入れましたが、他のものは拒否しました。"ヘッダを偽装しましたが、RFC821のenvelopeの送信者アドレスを偽装できませんでした。365に送信してProofpointがホストする顧客のサーバにリレーしました。365はこれらのなりすましメッセージを受け入れ、これらの顧客のメールインフラに送信してリレーさせました。顧客のドメインがスプーフィングされ、マッチングした顧客のメールインフラを経由してリレーされた場合、メッセージがプルーフポイントのインフラを経由する際にDKIM署名も適用され、スパムメッセージがより配信されやすくなりました。詐欺犯に悪用されているテナントの多くは、この記事を書いている時点でもまだ有効であるため、Proofpointサーバーを介した不正な中継を防止するためのいくつかの対策を実施し、お客様の保護に努めています。お客様への通知と保護のための行動プルーフポイントは、部門横断的なタスクフォースを迅速に動員し、リスクのある構成を持つすべてのお客様を特定して連絡を取り、インフラが悪用されているお客様を優先して、構成設定の変更を支援しました。新規の顧客がリレーの不正使用を防止するように設定されるプロセスを開発しました。プルーフポイントは、この特殊なリレー設定を行うすべてのお客様に対して、設定プロセスを可能な限り簡単でわかりやすいものにしました。文書とビデオの両方で明確な指示を提供し、FAQを作成し、カスタマー・コミュニティ・ポータルに専用ページを設け、製品内アラートを発し、ビデオ会議でお客様をサポートし、設定が正しく行われなかった場合に何が起こるかを説明しました。新しいリレーをセットアップしてテストする際に、スパム発信者の活動の初期警告サインを特定しました。スパムキャンペーンに先行する配信可能性テストの初期段階を特定することで、スパム送信者の活動を先取りし、次に標的となる可能性のある顧客に積極的に働きかけることができました。一部のお客様では、送信メッセージをブロックしない設定になっているため、すべての送信スパムキャンペーンを阻止することが困難であることがわかりました。そのため、そのようなお客様にも連絡を取り、設定を変更していただくようにしました。その結果、メッセージの内容に基づいて送信リレースパムキャンペーンを阻止する当社のスパム検出エンジンの有効性がさらに向上しました。私たちがスパム発信者の活動をブロックし始めると、スパム発信者はテストを加速させ、他の顧客へ素早く移動しました。私たちは、毎日影響を受けた顧客を特定し、設定を修正するためのアウトリーチの優先順位を再設定する継続的なプロセスを確立しました。広いセキュリティ・コミュニティとの協力プルーフポイントは、セキュリティリサーチャーが問題を報告し、発見を共有するために、プルーフポイントのようなベンダーやサービスプロバイダーに連絡することをお勧めします。このリレーの悪用に関する調査結果を他のメール・インフラストラ・プロバイダーと共有し、彼らの顧客の保護にも役立てています。セキュリティ・サービス・プロバイダーがすでに気づいていて、解決策に取り組んでいる場合でも、外部の視点は解決策の検証やテストに役立ちます。このプロセスにおいて、私たちは、より広範なセキュリティおよびサービス・プロバイダー・コミュニティから提供されたサポートと情報に非常に感謝しています。Labsを含む複数の第三者から有益な報告を受け、業界全体で良好な技術的協力関係を維持することの価値を明確にしました。Labsからは、私たちの調査を補完する追加的な技術情報を提供していただき、リレーのセットアップをより正確に再現し、私たちが顧客に指示した変更がリレーの不正使用を阻止する上で効果的であったことを検証することができました。主な学び詐欺犯によるリレーの悪用を特定した後の対応は迅速で、複数のチームが迅速に対処し、影響を受けたお客様をサポートしました。リレー設定オプションを顧客に提供することは価値あることであり、ユーザビリティも同様に重要です。電子メールインフラのプロバイダーは、コントロールが直感的に理解できるようにし、正しく設定することの重要性を明確に説明すべきです。メール・サービス・プロバイダには、無料トライアルや新しく作成された未確認のテナントが、特に他のプロバイダを介して中継される場合に、大量の送信メールキャンペーンを送信する力を制限することをお勧めします。メール・サービス・プロバイダは、顧客であるテナントが、所有権の証明されていないドメインになりすました送信メッセージを送信することを防ぐ必要があります。メッセージ送信元での不正使用を防ぐことは、スパムを減らす最も効果的な方法です。プルーフポイントはまた、仮想プライベート・サーバ・プロバイダに対し、そのインフラでホストされているSMTPサーバから大量のバルクスパムキャンペーンを送信する顧客の能力を制限するよう奨励しています。最後に、このブログで議論されているリレーの不正使用を特定し、阻止することは、サイバーセキュリティのエコシステム全体が、世界中の脅威リサーチと検出チーム間の協力とオープンなコミュニケーションからいかに利益を得ているかを示しています。官民を問わず、世界中の業界や地域を超えて、私たちは私たち全員の安全を守るために協力しています。私たちは、地域社会の保護を維持するために、私たち全員が提供する集団的貢献、オープンな対話、さまざまな見識を尊重し、大切にしています。侵害指標)以下は、スパム詐欺犯に悪用されているマイクロソフトのテナントのリストです。このブログが公開された時点では、多くがまだアクティブです。プルーフポイントでは、Proofpointサーバーを介した不正中継を防止するためのいくつかの対策を実施し、お客様の保護を維持しています。