ハッカーがテレグラム・フィッシングでベラルーシの亡命活動家を標的に

研究者らは、テレグラムを悪用してベラルーシの亡命活動家のアカウント乗っ取りを試みる、極めて個別化されたフィッシングキャンペーンを発見しました。標的にはロシアやカザフスタンのユーザーも含まれていました。

デジタルセキュリティ団体Resident NGOが先週公開した2件のレポートは、この攻撃活動がリトアニア在住の少なくとも1人のベラルーシ人活動家を標的にしていたことを明らかにしています。さらにこの活動は、少なくとも2024年10月以降、ベラルーシ、ロシア、カザフスタンのユーザーを狙ったより広範なテレグラム・フィッシングキャンペーンの一部とみられています。

攻撃は、カザフスタンの電話番号で登録された見覚えのないアカウントから、テレグラムのエンドツーエンド暗号化された「シークレットチャット」機能を通じて送られた、偽のテレグラム・セキュリティ警告から始まりました。このメッセージは、被害者がテレグラムの規約に違反したと虚偽の主張をし、確認のためのリンクをクリックしなければアカウントがブロックされると警告するものでした。

標的にされたユーザーの一人はこのフィッシングの試みに気づき、認証情報を一切入力せず、このメッセージをResident NGOに通報して分析を依頼しました。

研究者らによると、それぞれのフィッシングリンクは特定の個人向けに作成されており、その人物の電話番号が含まれていたため、攻撃者は誰がリンクを開いたかを追跡できたといいます。攻撃者はマルウェアをインストールする代わりに、被害者をだましてテレグラムのワンタイムログインコードを入力させようとしました。被害者が有効期限内にコードを入力してしまえば、攻撃者は即座に被害者のテレグラムアカウントを乗っ取ることができました。

研究者らは、個別化されたフィッシングリンクに埋め込まれた、主にロシアのものとみられる64件の異なる電話番号を発見したと述べています。「これらの番号はおそらく標的となった人物を示していますが、この記録だけでは、すべてのリンクが実際に配信されたことや、いずれかのアカウントが侵害されたことを証明することはできません」と研究者らは述べています。

Resident NGOによると、このキャンペーンで最も高度だった部分は、偽のログインページそのものではなく、その背後にあるインフラだったといいます。攻撃者はフィッシングページを表示する前に、訪問者のブラウザとデバイスをチェックしていました。訪問者が意図した標的と一致する場合は偽のテレグラム・ログインページが表示される一方、セキュリティツールや多くのデスクトップユーザーは、テレグラムの本物のウェブサイトや他の無害なページへリダイレクトされ、攻撃の検知を大幅に困難にしていました。

研究者らによると、攻撃者はフィッシングリンクを開いた人物についても追跡していたとみられます。標的がページを訪れた後、攻撃者側はアカウント確認がまだ完了していないと主張し、不審な活動について警告する2通目のメッセージを送っていました。

このメッセージには、対象者が使用しているデバイスの詳細、リンクを開いた時刻、インターネットサービスプロバイダーに関する情報が含まれていましたが、これらはリンクが開かれた際に収集されたものでした。研究者らは、この警告をもっともらしく見せかけ、被害者にログイン手続きを完了させるよう圧力をかけることが狙いだったとみられると述べています。

自動検知をさらに回避するため、攻撃者はフィッシングメッセージの一部で、キリル文字の一部を見た目がよく似たラテン文字やギリシャ文字に置き換えて偽装していました。

Resident NGOは、何人が標的にされたのか、あるいはいずれかのアカウントが最終的に侵害されたのかを特定することはできなかったとしています。また、このキャンペーンの最終的な目的や、侵害されたアカウントがどのように利用される予定だったのかも不明としています。

研究者らは、今回のキャンペーンで使われた手口は、ベラルーシの市民社会をこれまで繰り返し標的にしてきたアカウント乗っ取り攻撃と一致すると述べています。ただし、それらの攻撃の多くは被害者のデバイスに高度なスパイウェアを展開する手法に依存していました。

2024年、デジタル人権団体のAccess NowとCitizen Labは、ラトビア、リトアニア、ポーランドに居住するロシア語・ベラルーシ語話者のジャーナリストや野党活動家、少なくとも7人がPegasusスパイウェアの標的にされていたことを発見しました。

昨年には、国境なき記者団(Reporters Without Borders)が、ベラルーシのKGBに拘束されている間にマルウェアがインストールされたとみられるベラルーシ人ジャーナリストの携帯電話から発見された、これまで知られていなかった「ResidentBat」と呼ばれるスパイウェアツールを公表しました。

Resident NGOによると、今回の最新のスパイ活動は、市民社会に対する最も効果的な攻撃の一部にはマルウェアがまったく必要ないことを示しているといいます。

「非公開で送られ、特定の個人向けに巧妙に作り込まれたたった1通のメッセージだけで、アカウントを侵害するのに十分なのです」と研究者らは述べています。