Cloudflare、Twilioと同じフィッシング攻撃を受けるも完全回避 ハードキーが鍵

米CDN（Content Delivery Network）大手のCloudflareは8月10日（現地時間）、米Twilioが7日に発表したものと同じ高度なソーシャルエンジニアリング攻撃を受けたが、日頃の備えが奏功し、すべて阻止したと発表した。 Twilioが攻撃されたのとほぼ同時期に、Cloudflareの多数の従業員に対する攻撃があった。3人の従業員がこれにだまされたが、自社製品「Cloudflare One」ですべてのアプリへのアクセスに物理的なセキュリティキー（ハードキー）による認証を義務付けていたため、攻撃を阻止できたとしている。 攻撃が始まったのは7月20日。セキュリティチームに対し、少なくとも76人の従業員が、個人用および仕事用のスマートフォンで不審なテキストメッセージを受け取ったと報告した。攻撃者がどのようにして従業員の電話番号リストを入手したかはまだ特定できていない。

[urandom]

Cloudflareくらい何というか特殊な文化の会社でもこういう巧妙とはいえベタなフィッシングに引っかかる従業員は出るわけで、「社員教育を徹底して再発を防止」みたいなのはやっぱり（少なくとも単独では）意味がない。

[NOV1975]

騙されても防げたので処罰する理由がないよな（騙されたことを悪いとすると報告しないインセンティブが上がるからな

[sho]

ハードウェアキーだから防げたのか、単にMFAが有効だったからなのかわからないな。

[itochan]

多要素認証

[poad1010]

この記事をおすすめしました

[boxshiitake]

物理キー最強か

[mebius_ring]

「偏執的でも非難のない文化」

[usuzumineko]

みんなYubikeyを使うのです。当社は使ってます。同等のハードウェアキーでもいいよ。慣れたら大変じゃない。

[kanflu]

a paranoid but blame-free culture

[t_f_m]

"3人の従業員がこれにだまされたが、自社製品「Cloudflare One」ですべてのアプリへのアクセスに物理的なセキュリティキー（ハードキー）による認証を義務付けていたため、攻撃を阻止できたとしている"

[gabill]

つよい

[IGA-OS]

よい広告になってる