ロシア系ハッカー、西側諸国の組織を狙う新たな「ゼロクリック」攻撃を悪用

ロシア政府の支援を受けたハッカー集団が、ユーザーがフィッシングメールを操作する必要すらないゼロクリック攻撃という新たな手法を使って、組織を標的にしていることが分かりました。

西側のサイバー情報機関による共同勧告によると、このキャンペーンはネットワークへの侵害と永続的なアクセスの獲得を狙って設計されているといいます。

7月23日に発表されたこの警告では、ロシアを後ろ盾とする国家支援型の脅威アクターが、少なくとも2025年7月以降、Zimbra Collaboration Suite(ZCS)ソフトウェアを使って西側の政府機関や民間企業を標的にし、侵害を続けていると警告しています。

これらのスパイ攻撃の標的として確認されている組織は、防衛、政府、教育、エネルギー、法執行、メディア、NGO、テクノロジーの各分野にわたっています。

今回の共同勧告は、英国のNational Cyber Security Centre(NCSC)、Cybersecurity and Infrastructure Security Agency(CISA)や国家安全保障局(NSA)、連邦捜査局(FBI)などの米国機関、さらにファイブ・アイズの他の加盟国(カナダ、オーストラリア、ニュージーランド)のサイバー・情報機関、そして欧州の各機関によって発表されました。

このキャンペーンは、ロシアと関連付けられているサイバースパイ活動「Laundry Bear」によるものとされています。同グループはVoid BlizzardやUAC-0190としても知られています。

Laundry Bearのキャンペーンは、2025年11月に公表されたZCSのゼロデイ脆弱性(CVE-2025-66376)を悪用するもので、「beehive」と名付けられたゼロクリック型のエクスプロイトを使い、メールやその他の機密データを窃取します。

従来のフィッシングキャンペーンでは、リンクをクリックしたりファイルを開いたりといった行動を取るようユーザーをソーシャルエンジニアリングで誘導する必要がありますが、Laundry Bearのキャンペーンはこの脆弱性を悪用し、脆弱なバージョンのウェブメールサービス上で悪意あるメールを閲覧するだけで攻撃が成立する、閲覧ベースのエクスプロイトを利用します。

エクスプロイトが成功すると、攻撃者はサーバーから少なくとも過去90日分のメールやその他の機密情報を窃取しようとします。Laundry Bearはまた、パスワードを密かに窃取し、セッショントークンを利用して多要素認証による保護を回避することで、侵害した被害者のネットワーク内に持続的にアクセスし続けようとします。

ZCSを利用している組織に対しては、重大な脆弱性への速やかなパッチ適用と、ネットワーク監視能力の強化に直ちに取り組むよう呼びかけられています。

NCSCの最高執行責任者(COO)であるベス・ホプキンス氏は、「今回のフィッシングキャンペーンは、敵対的なアクターが西側諸国の組織から機密情報を盗み出すという目的のために、いかに手法を容赦なく適応させ、脆弱な技術を悪用するかを示しています」と述べています。

さらに同氏は、「国際的なパートナーとともに、他のプラットフォームに対しても使われる可能性のある、今回の勧告に記載された『ゼロクリック』の手法についてよく理解し、緩和策に関する助言を実行に移すよう、各組織に強く呼びかけます」と付け加えました。

脆弱性への即時のパッチ適用に加え、システム管理者には不審な活動がないか警戒するよう助言が出されています。

また今回の勧告では、パスキーをネイティブでサポートしていないZCSなどのサービスへのアクセスを仲介する手段として、パスキーをサポートするサードパーティの認証サービスの利用を検討するよう組織に推奨しています。これにより、脅威アクターが盗んだ認証情報を悪用してサーバーにアクセスする可能性を排除できるとしています。

この警告ではさらに、今回のキャンペーンの技術分析から、この作戦で使われたシンプルなコードベースの開発にAIが関与していたことが示されたとも警告しています。これは、悪意ある脅威アクターが自らのキャンペーンにAIを活用しかねないと情報機関がこれまで警告してきたことを受けたものです。