- Proofpointの報告によると、ロシアのTA488がZimbraのゼロデイ脆弱性CVE‑2025‑66376をスパイ活動キャンペーンで悪用
- 「半クリック攻撃」により、被害者が悪意あるメールを閲覧しただけでシステムが侵害される事態に
- 標的にはNATO、ウクライナ政府、防衛関連団体が含まれる。2026年2月の情報公開後、グループは姿を消す
ロシアの国家支援型サイバー犯罪者たちが、メール・コラボレーションプラットフォームであるZimbraのゼロデイ脆弱性を悪用し、西側諸国の標的――主に軍・政府機関――に対するスパイ活動を行っていたことが専門家によって警告されました。
セキュリティ研究者らはProofpointによる報告として、このキャンペーンは少なくとも1年、あるいはそれ以上前から続いているとしています。被害者が感染するために特定の操作を行う必要すらないことから、これを「半クリック攻撃」と呼んでいます。
通常、メールを介した攻撃では、被害者は少なくともファイルをダウンロードするかリンクをクリックする必要があります。しかし今回のケースでは、ZimbraのWebベースメールサービスに存在するクロスサイトスクリプティング(XSS)脆弱性により、被害者がメールを閲覧しただけで、それ以上の操作をすることなくロシア側がコンピューターに侵入できてしまう状態でした。
NATOとウクライナを標的に
問題の脆弱性は現在CVE-2025-66376として追跡されています。深刻度スコアは10点満点中7.2(高)と評価され、2025年11月にパッチが適用されました。しかし、脅威アクターはZimbraがこの脆弱性を修正するよりもかなり前から、これを悪用していたとみられています。
Proofpointによると、これまで複数のグループがこの欠陥を悪用しているのが確認されてきました。ただし今回のケースで問題となっているグループは、TA488として追跡されており、Laundry BearやVoid Blizzardという別名でも知られています。
Proofpointの報告書には、「攻撃が成功した後、TA488はシステムへの永続的なアクセスを確立し、標的となったユーザーのメールを窃取した」と記載されています。メールに加え、犯罪者らはパスワード、メールディレクトリ、二要素認証トークンなども狙っていました。同グループは「一貫して」NATOおよびウクライナ政府機関、さらには防衛産業基盤に属する団体を標的にしていたとのことです。
研究者らは2026年2月以降の活動を確認できておらず、同グループは現在活動を停止しているとみられます。この時期、セキュリティ研究者のSeqriteが同グループのインフラや手口について詳細な分析を公開したことで、TA488は数か月にわたって構築してきた基盤を焼き払い、姿を消す結果となりました。
