Trusted Design
Spearphishing via service is a specific variant of spearphishing. It is different from other forms of spearphishing in that it employs the use of third party services rather than directly via enterprise email channels.
All forms of spearphishing are electronically delivered social engineering targeted at a specific individual, company, or industry. In this scenario, adversaries send messages through various social media services, personal webmail, and other non-enterprise controlled services. These services are more likely to have a less-strict security policy than an enterprise. As with most kinds of spearphishing, the goal is to generate rapport with the target or get the target's interest in some way. Adversaries will create fake social media accounts and message employees for potential job opportunities. Doing so allows a plausible reason for asking about services, policies, and software that's running in an environment. The adversary can then send malicious links or attachments through these services.
A common example is to build rapport with a target via social media, then send content to a personal webmail service that the target uses on their work computer. This allows an adversary to bypass some email restrictions on the work account, and the target is more likely to open the file since it's something they were expecting. If the payload doesn't work as expected, the adversary can continue normal communications and troubleshoot with the target on how to get it working.
T1194「Spearphishing Service」（スピアフィッシング・サービス） は、これまでのスピアフィッシング（メール経由）とは異なり、Facebook、LinkedIn、Twitter、Slackなどの 「サードパーティのサービスやSNSのダイレクトメッセージ」 を利用して標的に接触する手法です。
この手法で攻撃者は、「従来のメールセキュリティ製品を完全に回避した初期侵入」を実現します。
攻撃者は、まず「信頼できる身分」を確立することから始めます。
企業ネットワークの「外」で行われる攻撃であるため、エンドポイントでの保護と教育が重要です。
T1194は「サービスの利用」という行動を指すため、特定のCVEを突くものではありませんが、以下のグループによる活動が有名です。
組織内で被害が出た場合、メールログには何も残りません。プロキシログやEDRのブラウザ履歴から、SNSへのアクセスとそれに続く不審なダウンロードがないかを確認する必要があります。
この攻撃手法を利用する脅威アクターは登録されていません。
この攻撃手法に関連する CVE は登録されていません。