Doubloon Dredgerが認証トークンを窃取するためにNotionを悪用

金銭目的の脅威アクターが、無料のNotionアカウント、悪意のあるPDF、デバイスコードフィッシングを悪用し、標的組織から認証トークンを窃取していることが確認されました。

Sublimeの脅威インテリジェンス&リサーチチームは、このアクターをDoubloon Dredgerとして追跡しています。同チームは、Notion（デジタルワークスペース・コラボレーションアプリケーション）の悪用について顧客から報告を受けた後、2026年7月にこの活動を特定し、別の組織に対する同様の攻撃も確認しました。

このキャンペーンでは、企業幹部になりすました偽アカウントを使い、正規のNotionインフラからドキュメント共有通知を送信していました。

Notion悪用がEvilTokensにつながる

メールには、受信者の勤務先の幹部がドキュメントを共有したという内容が記載されていました。Sublimeによると、これらの通知は侵害されたNotionアカウントを通じて生成されていたため、DKIM、SPF、DMARCの各チェックを通過していたとのことです。

通知をクリックすると、受信者は中間段階のPDFへ誘導されます。そこにある「Review and Sign」ボタンをクリックすると、Adobe Acrobatのドキュメント共有認証画面を装ったEvilTokensのデバイスコード窃取ページへリダイレクトされる仕組みです。

このページでは検証コードが提示され、被害者はMicrosoftの正規のログインページまたはデバイスコード入力ページへ入力するよう指示されます。被害者がコードを入力すると、EvilTokensは認可トークンを取得でき、攻撃者はアカウントへのアクセス権を得ることができます。同プラットフォームは、侵害された受信箱を操作できるウェブメールクライアント「MailVault」も提供しています。

EvilTokensは、少なくとも2026年2月以降、フィッシング・アズ・ア・サービス(PaaS)プラットフォームとして提供されており、非公開のTelegramチャンネルを通じてアクセス権が販売されているとSublimeは述べています。

デバイスコードフィッシングについて詳しくはこちら: ロシアのハッカー集団、デバイスコードフィッシングでMicrosoft 365アカウントを標的に

Doubloon Dredgerが多層的なフィッシングインフラを使用

Sublimeは、同じメタデータと重複リンク構造を持つ、さらに14個のPDFを特定しました。各PDFには同一のボタン上に2〜3個のリンクが重ねて配置されており、使用するPDFリーダーによって遷移先が異なる可能性があります。

研究者らは、これがインフラの冗長性を確保するものか、あるいは防御側による解析を複雑化させる狙いがあるものと、確信度は低いものの評価しています。

これらのPDFは、製造業、通信、小売、医療、物流など幅広い業種の組織を標的としており、一部のサンプルはEvilTokensではなくKratosフィッシングページにリンクしていました。SublimeはPDFビルダーが複数のアクター間で共有されているのか、それともDoubloon Dredgerが専有的に使用しているのかは判断できなかったとしています。

研究者らはまた、本キャンペーンの第一段階のJavaScriptと、Tycoon2FAのデバイスコード窃取活動との間に類似点を発見しました。分析の結果、関連するスクリプトが603個特定され、そのうち416個がEvilTokensへ、187個がTycoon2FAへとデコードされることが判明しました。Sublimeは、Doubloon Dredgerが両方のPhaaSプラットフォームの顧客であったと、中程度の確信度で評価しています。

今回の調査結果は、Tycoon2FAを停止に追い込んだグローバルな作戦から数か月後に明らかになったものですが、同プラットフォームはその直後に活動を再開しています。

Sublimeは、組織に対し、可能な限りデバイスコード認証を無効化するか、デバイスコードトークンの生成を信頼済みデバイスに限定するよう推奨しています。