Googleは、ロシア関連と見られる3つの異なるサイバースパイ集団の動向を追跡しています。これらの集団は、欧州および米国全域の学術関係者、航空宇宙、防衛、政府機関、シンクタンクに所属する個人を標的にしています。
Googleが「UNC(unclassified、未分類)」と呼ぶこれらのグループは、少なくとも昨年から、この極めて標的を絞ったキャンペーンを継続的に展開しており、現在も進行中です。攻撃で使われたフィッシングおよびOAuth悪用の手口の一部は、今月にも実行されていました。
脅威インテリジェンスチームがThe Registerに語ったところによると、各キャンペーンの標的は100人未満で、被害者は10人にも満たないとのことです。
標的の数こそ少ないものの、政府機関やNGO、学術機関、航空宇宙分野で働いている方であれば標的になり得ます。ここ数カ月、ロシアのスパイ集団は正規の認証フローを悪用するよう手口を進化させており、Googleはこの手のソーシャルエンジニアリング手法がより本物らしく見えるようになっていると警告しています。これにより、サイバー工作員は複数のプラットフォームにまたがって個人アカウントを侵害できるようになっています。
そのため、被害者候補がこれをフィッシング攻撃だと気づけない可能性もあります。
Googleはこうしたキャンペーンについて注意喚起を行いたいとしており、「標的となり得る人々が悪意ある接触をより容易に見分けられるようにするため」だと説明しています。
つまり、米国務省を名乗るカレンダー招待が届いても、鵜呑みにしてはいけないということです。
UNC6293
セキュリティアナリストたちは、3グループのうちの1つであるUNC6293を、ほぼ2年にわたって追跡してきました。UNC6293はAPT29(通称Cozy Bear。ちなみにGoogleは現在これをIce Relicという呼称で追跡しています――思わず呆れてしまいますが)と見られるフィッシング集団で、米国務省職員になりすまし、被害者を騙してメールのやり取りへの長期的なアクセス権を渡させる手口を使います。
APT29はおそらく2020年のSolarWindsハッキング事件で最もよく知られており、英米両政府や民間企業のセキュリティアナリストは、しばしばこれをロシア対外情報庁(SVR)と結びつけています。
木曜日、Googleの脅威インテリジェンスグループ(GTIG)は、同様にフィッシングやOAuthフローの悪用、そして/あるいは同種の標的個人へのマルウェア展開を行っている、ロシア関連と疑われる別の2グループ、UNC7005とUNC5976の追跡も現在行っていると発表しました。
昨夏、GTIGはUNC6293がロシアを批判する人物のアプリパスワードを狙ってフィッシングを行っていたことを記録していました。このキャンペーンでは国務省職員になりすましており、この手口を引き続き使いながら、新たにOAuthフィッシングもツールキットに加えています。
「2026年6月、GTIGは、外部プロバイダーへの正規のログインを行った後に、標的に対してURL全体または『確認コード』を共有するよう求めるOAuthフィッシングを観測しました」と、Googleの脅威アナリストであるGabby Roncone氏とWesley Shields氏は木曜日のレポートで述べています。「求められた確認コードを提供してしまうと、標的はUNC6293にアカウントへのアクセス権を許してしまうことになります」
UNC7005
GTIGはまた、UNC7005がAPT29/Cozy Bear/Ice Relic、そしてSVRと関連する別の初期アクセスグループであるとの見方を「中程度の確信度」で示しています。今年2月に初めて確認されたこの集団は、通常ウクライナ、西欧、米国全域の学術・外交・非営利団体関係者を標的としています。UNC6293と類似点はあるものの、Googleは「洗練度が低く、運用上のセキュリティも甘い点、特性の異なるインフラを使っている点、マルウェアを組み込んでいる点」から、これを別グループとして追跡しています。
ReliaQuestとMicrosoftは、キャプティブポータルネットワークを侵害して情報窃取マルウェア、キーロガー、その他のマルウェアを配布するキャンペーンを発見し、このグループについて最初に警鐘を鳴らしました――Microsoftは同グループをStorm-2945として、UNC6293の名称で追跡しています。
このロシア情報機関の工作員たちは、2月に始まったAI支援型の作戦の中で、ホテルや会議施設をはじめとする接客業界の共有施設にある公共Wi-Fiネットワークの利用者を標的にしていました。
UNC7005はMicrosoftアカウントとWhatsAppアカウントの両方に対するデバイスコードフィッシングも好んで用います。直近では、外交イベントや会議への招待状を装ったフィッシングの誘い文句がメールで送られ、攻撃者が管理するウェブサイトへのリンクが含まれています。この集団はまた、ウェブサイトのテンプレートを使い回す傾向があります。
関係者によると、5月にはこの手口が使われ、「大使館からの招待」をテーマにした過去の作戦で使われたウェブサイトのテンプレートが再利用されました。その後のキャンペーンでは、東欧情勢に焦点を当てた地政学的な討論の場である、実在のGLOBSEC forumになりすましていました。
被害者が攻撃者の管理するウェブサイトを訪れると、スパイたちは被害者のシステムをフィンガープリンティングし、会議への出席を確認するよう促してきます。
「登録プロセスは念入りに作り込まれており、特筆すべきことに、こだわりのワインセレクションまで用意されています。これは、過去の複数のICE RELIC関連のフィッシングキャンペーンにも見られたテーマです」とGoogleの担当者らは記しています。
5月から6月にかけて、UNC7005はWhatsAppになりすましたソーシャルエンジニアリング攻撃を行い、被害者に音声通話への参加、暗号化チャットへの参加、あるいはファイルのダウンロードを促しました。音声通話に参加すると、悪意あるJavaScriptが実行され、標的の音声と映像が記録され、マルウェアによって攻撃者のコマンド&コントロールサーバーにアップロードされます。
Googleは、ロシア側が盗み出した画像や音声をどのように利用しているかについては言及していませんが、攻撃者はいずれも説得力のあるソーシャルエンジニアリングキャンペーンを展開する上で活用できます。
同じく5月には、この集団が「これまで観測してきた中で最も広範なフィッシングの波」を実行したと、Roncone氏とShields氏は記しています。この波は、ロシアや旧ソ連諸国を研究対象とする、主に米国拠点の著名な学者、外交官、研究者を標的にしていました。
攻撃者側のウェブサイトは、より「入念に作り込まれ、標的に対するソーシャルエンジニアリングを狙ったもの」で、ウクライナ支持決議に関する具体的な情報に加え、一般的な質問や技術サポート用の連絡先情報まで用意されていました。もっとも、その連絡先は攻撃者に直通するホットラインであり、実際のヘルプデスクではありませんでした。
質問や技術的な問題向けの(実際には攻撃者につながる)連絡先情報でした。
ユーザーが、決議全文を読むための「Summit Companion App」をダウンロードできると信じてボタンをクリックすると、知らぬ間に自分のMac OSやWindows端末に情報窃取マルウェアをインストールしてしまいます。
8月以降、同じ集団はクラウドインフラを使ったGoogleおよびMicrosoftアカウントのOAuthフィッシング作戦も開始しています。
UNC5976
最後に、UNC5976もロシア関連と見られる別のサイバースパイ集団で、こちらもOAuthトークンの窃取を好んで行います。GTIGは2026年3月から、この集団によるOAuth関連の活動の追跡を開始しました。
これらのキャンペーンでは、UNC5976がファイル共有関連の名称を持つ複数のドメインを取得し、そのドメインに関連付けたクラウドプロジェクトを作成します。これらのドメインは偽のファイル共有ページをホストし、ポップアップリンク経由で「Continue with Google」を選択するようユーザーに促します。このリンクは正規のGoogle OAuthログインページへユーザーを誘導し、サインインを求めます。認証情報での認証が完了すると、被害者はGoogle Cloudプロジェクトの URLへリダイレクトされ、その過程で認証トークンが攻撃者のために保存される仕組みです。
GTIGは、UNC5976を他の2つの初期アクセスグループとは「異なる」ものと位置付けており、これは「戦略的な指令の違いや、ロシアの別の情報機関との連携の可能性」を示しているかもしれないと指摘しています。
また、侵害後の活動には住宅用プロキシではなく専用インフラを使用しており、OAuth関連の作戦においてもより多くのマルウェアやツールを用いています。®
