Googleユーザーに警告:偽のボイスメールメッセージが認証情報窃取につながる

巧妙な新しい認証情報フィッシングキャンペーンが、日常的な不在着信ボイスメール通知になりすまし、警戒心のない従業員をだましてGoogleアカウントのパスワードを渡させようとしています。

セキュリティ研究者のAnurag氏が最近このキャンペーンを発見し、その詳細をCyber Security Newsに提供しました。それによると、このキャンペーンは緊急性を煽る手口と偽の音声アラートを組み合わせ、標的を段階的に認証情報の罠へと静かに誘い込む仕組みになっています。

セキュリティフィルターに引っかかりやすい不審なメール添付ファイルに頼るのではなく、この攻撃は「New Audio MSG(新しい音声メッセージ)」を告げるシンプルなメッセージとして届きます。埋め込まれた「Play Audio(音声を再生)」ボタンをクリックしたユーザーは、音声ファイルには誘導されません。代わりに、このリンクは最終的な行き先を隠すために設計された一連のリダイレクトを経由します。

最初のリンクは、基本的な評判チェックを回避するため、SendGrid(sendgrid[.]net)やAWSのクリックトラッキング(rdnjfgli.r.ap-northeast-1.awstrack[.]me)といった既存のクラウド・メールインフラを経由します。この過程で、標的のメールアドレスをBase64エンコードしたものがURLフラグメントに追加され、リダイレクトチェーンを通じて保持されます。

その後、被害者はcoderkubes[.]com/workspace/googlev.htmlでホストされている偽のGoogle WorkspaceまたはGoogle Voiceのランディングページへ転送されます。最終段階では、この攻撃はローカルのBlob URLを利用して被害者のブラウザ上に本物そっくりのGoogleアカウントサインイン画面を生成し、その裏で使われるフィッシングスクリプトは攻撃者が管理する外部サーバー(spy.mwork801[.]com)から直接取得されます。

エンコードされたメールアドレスのパラメータを利用することで、悪意あるページには被害者のアドレスが自動的に事前入力され、偽のログインページが独自に本物らしく見えるように仕組まれています。

境界防御における真のリスク

攻撃者が企業のGoogleログイン情報を手に入れると、受信トレイへのアクセス以上のものを得ることになります。アカウントが侵害されると、侵入者はGoogleドライブの文書、機密性の高いカレンダーの予定、連絡先リスト、さらには連携する社内アプリケーションのシングルサインオン(SSO)リセットオプションまで手中に収めてしまいます。

さらに悪いことに、盗まれた認証情報は信頼された企業アカウントを攻撃の踏み台へと変えてしまいます。攻撃者は侵害した社内メールアドレスを日常的に悪用し、同僚や取引先、顧客企業のネットワークを狙った二次的なフィッシングキャンペーンを仕掛けます。これは事実上、組織自身のブランドの信頼性を武器化し、パートナー企業に向けて悪用する行為に他なりません。

手口を解剖する:なぜアンチフィッシングツールは見逃すのか

このキャンペーンが注目に値するのは、偽のボイスメールという釣り餌だけでなく、周到に設計された回避アーキテクチャにあります。AWSやSendGridといった信頼されたクラウドサービスを経由させることで、このキャンペーンはレガシーなセキュリティツールに存在する大きな盲点、すなわち「ドメイン信頼の誤った配分」を悪用しています。

従来のメールセキュリティゲートウェイは、信頼性の高いクラウドプラットフォーム上でホストされたリンクを含むメッセージに、高い信頼スコアを付与しがちです。サイバー犯罪者はこれを悪用し、こうしたサービスを悪意あるインフラへとユーザーを誘導する前段の踏み台として利用します。さらに、最終的なサインインページをブラウザのBlob URL経由で動的に組み立てることで、悪意あるコードの実行をローカル環境に閉じ込め、静的なWebフィルターが最終ページのペイロードをリアルタイムでスキャンすることを妨げています。

このフィッシングキャンペーンへの対処法

アカウント乗っ取りのリスクを軽減するために、セキュリティチームと従業員は以下の重要な防御策を実施すべきです。

• 現実的な視点でチェックする: ボイスメール通知は音声ファイルを再生するものであり、アカウントのパスワードを要求するものではありません。再生前に再ログインを求める通知は、いずれも不審なものとして扱うべきです。
• アドレスバーを確認する: 認証情報を入力する前に、必ずブラウザのアドレスバーを確認してください。ページのブランディングがどれほど公式らしく見えても、Blob URLや信頼できないドメイン名は即座に警戒すべき兆候です。
• テレメトリを相関分析する: 防御チームは、不審なリダイレクトパターンがないかメールのテレメトリを監視し、メールリンクのクリックと突発的なログイン試行を照合するとともに、特定した悪意あるドメインをDNSおよびWebプロキシの層でブロックすべきです。
• メール内リンクを避ける: 予期しない音声アラート内のリンクをクリックするのではなく、新しいブラウザタブで直接サービスを開き、本物のメッセージがあるかどうかを確認してください。

このキャンペーンは、攻撃者が正規のクラウドサービス、多段階のリダイレクト、説得力のあるサインインページを組み合わせることで、見慣れたフィッシングの手口を一目で見抜くことをより困難にしている実態を示しています。

従業員にとって、最も安全な習慣はシンプルです。予期しないログインプロンプトには警戒し、メール内のリンクを経由せず、サービスに直接アクセスすることです。セキュリティチームにとっての、より大きな課題は、ドメインの評判だけに頼らず、日常的に見えるボイスメールアラートがアカウント乗っ取りへと発展しうる一連の挙動全体を注視することにあります。

あわせて読みたい:新興技術がサイバー防御をどのように変えつつあるかについては、こちらもご覧ください。 OpenAIがGPT-5.6を現実世界のサイバーセキュリティ課題でテスト