ロシア系ハッカー集団、正規のログインフローを悪用して2FAを回避しアカウントアクセスを窃取

ロシアのサイバースパイ活動に関与しているとみられる3つのクラスターが、正規の認証メカニズムを悪用し、欧州および米国全域の学者、外交官、国防関係者、政府職員、シンクタンク研究者らのアカウントを乗っ取っていることが分かりました。

攻撃者は単なる認証情報窃取用フィッシングページに頼るだけでなく、正規のアプリパスワード発行、OAuth認証、デバイスコード認証、デバイス連携といったワークフローをユーザーに実行させるよう仕向けます。これにより、多要素認証(MFA)による保護があるにもかかわらず、攻撃者に認証済みアクセス権を渡してしまう結果を招きます。

GTIG(Google脅威インテリジェンスグループ)は、この活動がロシアと関連している可能性が高いと高い確度で評価しています。また、UNC6293とUNC7005については、Googleが「ICE RELIC」と呼称する脅威アクター(一般に「APT29」として知られる)に関連する初期アクセス担当のサブクラスターである可能性が中程度の確度で評価されています。

UNC6293は2025年6月に初めて公に詳細が明らかにされたグループで、米国務省の職員になりすまし、ロシアに批判的な著名人物を繰り返し標的にしてきました。

その中核となる手口はアプリパスワードフィッシングです。標的者は「ms.state.gov」のような紛らわしい名前でアプリケーション固有パスワードを生成するよう指示され、そのパスワードを攻撃者に提供させられます。

アプリパスワードは本来、2FAに対応できない旧式のアプリケーション向けに設計されたものです。そのため、パスワードが盗まれると、被害者の第二認証要素を経ることなくメールボックスへのアクセスを許してしまう可能性があります。

同グループはその後、OAuthフィッシングにも手口を拡大しました。2026年6月、GTIGはUNC6293が標的に対し、正規のサードパーティログインを完了させたうえで、得られたURL全体または「確認コード」をフィッシングサイトに送信するよう求めている様子を観測しています。

この値を提供してしまうと、事実上、攻撃者に被害者アカウントへのアクセス許可が与えられてしまいます。正規の認証プロセスそのものが侵害の手段にすり替えられているのです。

UNC7005は「STORM-2945」としても知られており、少なくとも2026年2月から活動しています。標的はウクライナ、西欧、米国の学術関係者、外交関係者、非営利団体、防衛関連の人物です。

同グループのキャンペーンでは、偽の会議招待状や大使館招待状を使って標的をMicrosoftのデバイスコード認証プロセスへ誘導します。この際、正規のMicrosoftワークフローが悪用され、被害者のアカウントが攻撃者管理下のアクセス権に紐付けられてしまいます。

GTIGによると、同グループは訪問者のフィンガープリンティングを行い、おとりサイトにアンチ解析機能を実装しており、セキュリティ研究者や自動スキャナーを積極的に排除しようとしていることがうかがえます。

Securityconsulting services

GTIGの調査によると、UNC6293、UNC7005、UNC5976の各クラスターは、持続的かつ高度に標的を絞り込んだフィッシング活動を展開しています。

このクラスターは、WhatsAppの正規の連携デバイス登録プロセスも悪用しています。

ロシアのサイバースパイクラスター

標的者は、安全な通話やチャット、文書共有セッションに参加するためにアカウントを連携させる必要があると告げられますが、実際には攻撃者が管理するデバイスへのアクセス権を許可させられています。

UNC7005は当初、2026年4月下旬の「大使館招待状」をテーマにした過去の作戦で使ったウェブサイトのテンプレートを、2026年5月に正規のGLOBSECフォーラムを装った別の作戦で再利用していました。

GTIGはさらに、WhatsAppアカウントが連携された後、偽の音声通話インターフェースを通じて音声や映像の記録を試みるページも特定しています。

UNC7005のツールキットは、認証フローの悪用にとどまりません。5月に行われたより広範なキャンペーンでは、偽の「ウクライナ支援サミット」アプリケーションを通じて、Windowsユーザーには情報窃取マルウェアVIDARを、macOSユーザーにはAtomicStealerを配布していました。

8月には、フィンランドのOperations Centerになりすまし、正規のGoogle OAuthページを経由して標的を、認証トークンを窃取するために用意された攻撃者管理下の未検証クラウドプロジェクトへとリダイレクトしていました。

同グループはまた、ホテルや会議会場での悪質なキャプティブポータル活動とも関連付けられており、被害者は偽のMicrosoft認証インフラへとリダイレクトされていました。

Googleは、このインフラをUNC7005のデバイスコード、マルウェア、OAuthを用いた各種作戦に関連付けており、これはReliaQuestとMicrosoftによる従来の公開報告を補強するものとなっています。

Malwareremoval tool

GTIGによると、UNC5976は運用上、他とは切り離された独立クラスターです。同グループは偽のファイル共有ドメインやクラウドプロジェクトを使ってOAuthトークンの収集を自動化しているほか、「HEADRUSH」と名付けられた悪質なExcelアドインを展開しており、これはHTAダウンローダーへとつながります。

同グループは特に、ウクライナとアルメニアを中心に、軍事、航空宇宙、防衛産業、NGO、シンクタンク関連の標的に重点的に狙いを定めています。

今回のキャンペーンは、防御側にとって深刻さを増す課題を浮き彫りにしています。正規のログイン画面であっても、もはや安全である証拠にはならないのです。

組織は、アプリパスワードの生成を制限し、OAuth同意許可や連携アプリケーションを見直し、デバイスコードおよびデバイス連携イベントを監視するとともに、リスクの高い職員に対しては、ログインプロセス中に受け取った確認コード、認証URL、QRコード、アプリパスワードを絶対に他人と共有しないよう教育すべきです。

Googleはまた、ブラウザが不審な接続先を警告した場合は操作を中断し、認証前にURLを確認するようユーザーに推奨しています。

侵害指標(IOC)

注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化(defang、例: [.])されています。再有効化(re-fang)は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。

★ 削減すべきセキュリティツールはどれか?1ページでスコア化 – 「継承されたセキュリティスタック」ガイドをダウンロード