conducting-phishing-incident-response

フィッシングインシデントへの対応

使用する場面

• フィッシング報告ボタンまたは不正利用報告用メールボックスを通じて、不審なメールを受信したとユーザーから報告があった場合
• メールゲートウェイが、初回のフィルタリングをすり抜けた悪意のあるメールを検出した場合
• 脅威インテリジェンスにより、組織を標的としたフィッシングキャンペーンが進行中であることが判明した場合
• 不審なメール内のリンクをクリックした、または添付ファイルを開いたとユーザーが確認した場合
• フィッシングの疑いがあるページに認証情報を入力した場合

使用しないでください。侵害された内部アカウントが関与するビジネスメール詐欺（BEC）には使用しないでください。アカウント乗っ取りの調査に重点を置いたBEC対応手順を使用してください。

前提条件

• メッセージ追跡と隔離機能を備えたメールセキュリティゲートウェイ（Microsoft Defender for Office 365、Proofpoint、Mimecast）
• メールボックスの検索と削除を行うためのMicrosoft 365管理者アクセス権、またはGoogle Workspace管理者アクセス権
• 添付ファイルとURLの分析用マルウェアサンドボックス（ANY.RUN、Joe Sandbox、Hybrid Analysis）
• メールヘッダー分析ツール（MXToolbox Header Analyzer、Google Admin Toolbox）
• アカウントの修復に必要なIDプロバイダーへのアクセス権（Azure AD、Okta、Duo）
• フィッシング報告の受付プロセス（専用メールボックスまたは統合された報告ボタン）

ワークフロー

ステップ1：フィッシング報告を受け付けてトリアージする

報告されたメールを評価し、悪意のあるものかどうかを判断します。

• メールを.EMLまたは.MSGファイルとして抽出します（ヘッダーが保持されます）
• メールヘッダーを分析して、実際の送信者、リレー経路、認証結果を特定します

Email Header Analysis Checklist:
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
Return-Path:     billing@spoofed-domain[.]com
From:            "IT Support" <support@corp-lookalike[.]com>
Reply-To:        attacker@gmail[.]com (different from From)
SPF:             FAIL (sender IP not authorized for domain)
DKIM:            FAIL (signature invalid)
DMARC:           FAIL (policy: none - no enforcement)
Received:        from mail.attacker-infra[.]net [45.33.x.x]
X-Originating-IP: 45.33.x.x
Message-ID:      <[email protected]>

分類基準：

• フィッシング確定：悪意のあるURL／添付ファイル、送信者のなりすまし、認証情報を窃取するページ
• 不審：異常なヘッダーがあるものの、悪意のあるコンテンツは確認されていない
• スパム／マーケティング：不要なメールだが、悪意はない
• 正規のメール：フィッシングメールではない（誤報）

ステップ2：悪意のあるコンテンツを分析する

安全な環境でURLと添付ファイルを調査します。

URL分析：

• URLをVirusTotal、URLscan.io、Google Safe Browsingで確認します
• サンドボックスのブラウザーでURLを開き、ランディングページを取得します
• URLが認証情報を窃取するページにリダイレクトされるか確認します
• フィッシングキットの種類を特定します（Microsoft 365ログイン画面のクローン、Oktaのクローン、汎用）
• フィッシングページがまだ有効かどうかを確認します

添付ファイル分析：

• ファイルのハッシュ（SHA-256）を計算し、VirusTotalで確認します
• サンドボックスで実行します（ANY.RUN、Joe Sandbox）
• ドキュメントにマクロが含まれているか分析します（Officeファイルにはolevbaを使用）
• 埋め込み型のエクスプロイトがないか確認します（ドキュメントパーサーに対するCVEの悪用）

ステップ3：影響範囲を特定する

すべての受信者を特定し、フィッシングメールに反応したユーザーがいるか評価します。

Scope Assessment:
━━━━━━━━━━━━━━━━
Total Recipients:     47 users
Delivered to Inbox:   38 users (9 caught by email gateway)
Opened Email:         24 users (email tracking pixel data)
Clicked Link:         8 users (proxy/firewall logs)
Entered Credentials:  3 users (phishing page submitted form data)
Opened Attachment:    2 users (EDR process execution telemetry)

検索方法：

• Microsoft 365：Threat ExplorerまたはContent Searchを使用して、メールのすべてのコピーを検索します
• Google Workspace：Admin Console > Investigation toolを使用してメッセージを検索します
• プロキシログ：内部IPからフィッシングURLへの接続を検索します
• EDR：すべてのエンドポイントで添付ファイルのハッシュに一致するファイルの実行を検索します

ステップ4：脅威を封じ込める

影響評価に基づいて封じ込め措置を実施します。

メールの封じ込め：

• Microsoft 365 Content Search and PurgeまたはGoogle Workspace Adminの削除機能を使用して、すべてのメールボックスからフィッシングメールを削除します
• メールゲートウェイで送信者のドメインをブロックします
• フィッシングURLをWebプロキシのブロックリストに追加します
• 添付ファイルのハッシュをメールゲートウェイとEDRのブロックリストに追加します

アカウントの封じ込め（認証情報を入力したユーザー向け）：

• 直ちにパスワードのリセットを強制します
• すべてのアクティブなセッションとOAuthトークンを失効させます
• MFA登録を有効にするか、再確認します
• 攻撃者が作成した転送ルールがないか、メールボックスのルールを確認します
• 許可されていないOAuthアプリケーションへのアクセス許可がないか確認します
• 不審な場所からのサインインがないか、最近のサインインアクティビティを確認します

# Microsoft 365: Revoke sessions and reset password
Connect-AzureAD
Revoke-AzureADUserAllRefreshToken -ObjectId "[email protected]"
Set-AzureADUserPassword -ObjectId "[email protected]" -ForceChangePasswordNextLogin $true

# Check for mailbox forwarding rules
Get-InboxRule -Mailbox "[email protected]" | Where-Object {$_.ForwardTo -or $_.RedirectTo}

# Remove suspicious forwarding rules
Remove-InboxRule -Mailbox "[email protected]" -Identity "Rule Name"

ステップ 5：駆除と復旧

フィッシング攻撃の痕跡をすべて取り除きます。

• すべてのメールボックスでメールの削除が正常に完了したことを確認します
• 侵害されたアカウントが保護されていることを確認します（パスワード変更、セッションの取り消し、MFA の確認）
• フィッシング添付ファイルを介して影響を受けたエンドポイントにインストールされたマルウェアを削除します
• 継続的な不正アクセスの兆候がないか、侵害されたアカウントを 72 時間監視します
• 露出期間中に侵害されたアカウントからデータが持ち出されていないか確認します

ステップ 6：インシデント発生後の対応

同様のフィッシング攻撃に対する防御を強化します。

• フィッシング URL を Google Safe Browsing と Microsoft SmartScreen に報告します
• ドメイン登録業者の不正利用窓口を通じて、フィッシングドメインの停止を申請します
• 確認された回避手法に基づいて、メールゲートウェイのフィルタリングルールを更新します
• 影響を受けたユーザーに対象を絞ったセキュリティ意識向上通知を送信します
• 確認された手法を含めるよう、フィッシングシミュレーションプログラムを更新します

主な概念

用語	定義
スピアフィッシング	特定の個人または組織を標的に、個別化されたコンテンツを用いて仕掛けるフィッシング攻撃です
認証情報の窃取	正規のログインページを模倣し、ユーザー名とパスワードを取得するフィッシング手法です
SPF（Sender Policy Framework）	ドメインからのメール送信を許可されたメールサーバーを指定するメール認証プロトコルです
DKIM（DomainKeys Identified Mail）	暗号署名を使用して、メールが転送中に改ざんされていないことを検証するメール認証方式です
DMARC	SPF と DKIM を使用してメールの真正性を判断し、認証に失敗した場合の処理方法を受信側に指示するポリシーフレームワークです
OAuth 同意フィッシング	悪意のある OAuth アプリケーションにメールやデータへのアクセスを許可するよう、ユーザーをだます攻撃です
メールヘッダー	フォレンジック分析に使用するルーティング、認証、送信者の情報を含む、すべてのメールに埋め込まれたメタデータです

ツールとシステム

• Microsoft Defender for Office 365：調査と自動削除のための Threat Explorer を備えたメール脅威対策
• Proofpoint TAP (Targeted Attack Protection)：URL 書き換えと添付ファイルのサンドボックス解析を備えたメールセキュリティプラットフォーム
• URLscan.io：証拠としてフィッシングページのスクリーンショットを取得し、URL をスキャンするオンラインサービス
• PhishTool：ヘッダー分析、URL 検査、IOC 抽出を自動化するフィッシング分析プラットフォーム
• GoPhish：セキュリティ意識向上テスト用のオープンソースのフィッシングシミュレーションプラットフォーム

よくあるシナリオ

シナリオ：QR コードを使った Microsoft 365 の認証情報を狙うフィッシング

状況：IT 部門からのメールを装い、MFA の再登録を求めるメールが届いたとユーザーから報告されています。メールには、侵害された WordPress サイトでホストされている、精巧に模倣された Microsoft 365 のログインページへ誘導する QR コードが含まれています。

対応：

1. サンドボックスで QR コードをスキャンし、URL を抽出します
2. フィッシングページを分析します。このページは認証情報と MFA トークンを取得します（中間者攻撃）
3. メッセージの件名と送信者を検索条件にして、メールゲートウェイで全受信者を検索します
4. プロキシログと照合し、フィッシング URL にアクセスしたユーザーを特定します
5. URL にアクセスしたすべてのユーザーにパスワードのリセットを強制し、セッションを取り消します
6. すべてのメールボックスからメールを削除し、送信者のドメインをブロックします
7. フィッシングメールの具体例を視覚的に示し、今回のキャンペーンについてユーザーに通知します

注意点：

• MFA を使用していてもセッショントークンを取得する中間者攻撃（AiTM）機能を確認しない
• アクティブなセッションを取り消さずにパスワードだけをリセットする（攻撃者が盗んだセッション Cookie を通じてアクセスを維持する）
• アカウント侵害後に攻撃者が作成したメールボックスの転送ルールを検索しない
• URL スキャンツールでは QR コード画像をデコードできないため、QR コードを使ったフィッシング（クイッシング）を見落とす

出力形式

PHISHING INCIDENT RESPONSE REPORT
===================================
Incident:          INC-2025-1602
Date Reported:     2025-11-16T09:15:00Z
Reported By:       [email protected]
Classification:    Credential Phishing (AiTM)

EMAIL ANALYSIS
Subject:       "Action Required: MFA Re-enrollment"
Sender:        it-support@corp-security[.]com (spoofed)
SPF:           FAIL | DKIM: FAIL | DMARC: FAIL
Phishing URL:  hxxps://compromised-site[.]com/ms365/login
Phishing Type: Microsoft 365 AiTM credential harvester

IMPACT ASSESSMENT
Recipients:        47
Clicked Link:      8
Credentials Entered: 3 (confirmed via proxy POST data)

CONTAINMENT ACTIONS
[x] Email purged from all 47 mailboxes
[x] Phishing domain blocked at web proxy
[x] Sender domain blocked at email gateway
[x] 3 compromised accounts: passwords reset, sessions revoked
[x] Mailbox forwarding rules reviewed (1 malicious rule removed)
[x] OAuth app grants reviewed (no unauthorized grants found)

IOCs EXTRACTED
Domain:  corp-security[.]com
URL:     hxxps://compromised-site[.]com/ms365/login
IP:      104.21.x.x (Cloudflare-hosted)
Sender:  it-support@corp-security[.]com

RECOMMENDATIONS
1. Implement DMARC enforcement (p=reject) for corp domain
2. Deploy QR code scanning in email gateway
3. Send targeted awareness notification to all 47 recipients
4. Request domain takedown via registrar abuse contact