Zimperiumによると、有名企業の人事担当者になりすました詐欺師が面接日程調整詐欺を仕掛け、最終的に企業パスワードを盗み出す手口が確認されています。
攻撃者は「ブラウザ・イン・ザ・ブラウザ(BitB)」と呼ばれる手法を使用しており、これは採用フィッシングに関する以前の調査でCTM360が報告していたものです。攻撃者は公開されているプロフィール情報を収集し、それをもとに標的の警戒心を突破できるような説得力のある日程調整フローを作り上げます。
通過できるのは企業アカウントのみ
BitBはデスクトップ環境ではブラウザウィンドウ全体、アドレスバーも含めて模倣できるため、偽のログインページを本物らしく見せることが可能です。しかしスマートフォンではこの手法は通用しません。そのため、この攻撃キットは画面全体を覆う偽のログインページに切り替える仕組みになっています。スマートフォンにはそもそもウィンドウやアドレスバーが存在しないため、被害者側には照合すべき手がかりが何もないのです。
このフィッシングキットは、Zimperiumが「攻撃者による厳格な事前選別ロジック」と呼ぶ仕組みで動作します。キットは被害者が入力した内容を精査し、個人用メールアドレスは弾いてしまいます。
研究者らは次のように指摘しています。「企業の認証情報の使用を強制することで、攻撃者は価値の高い企業アクセス権を的確に狙っています。一つの企業アカウントに侵入すれば、OAuthトークン、社内コミュニケーション、クラウドアプリケーションへ即座にアクセスできるようになり、組織内での迅速な横展開が可能になります」
ドメインを支えるホスティング基盤
Zimperiumは、企業ブランドになりすましたドメインを1年間にわたり追跡しました。それらのドメインは[企業名]-careers.comや[企業名]-global.comといったパターンに従っています。その背後にあるインフラは、予想以上に変化が少ないことが判明しました。マイナーなプロバイダーを転々とするのではなく、同じホスティング・クラウドプロバイダーが繰り返し登場しており、自律システム番号(ASN)レベルではAmazon Web ServicesとSEDO GmbHが最も頻繁に確認されています。
上位10件のASN分布（出典：Zimperium）
これらの共有ネットワーク上で新規登録される類似ドメインに対して、ドメインブロックリストの更新は追いついておらず、偽サイトが検知されるまでの間に危険にさらされる時間的な隙間が生じています。Zimperiumは、これまで公表されていなかったこの活動に関連する46件の侵害指標(IOC)を公開しました。
Zimperiumが追跡したドメインは、eコマース、高級ブランド、航空、小売など幅広い業界のブランドになりすましていました。この手口に巻き込まれたブランド名には、Amazon、Louis Vuitton、Apple、FIFA、Emirates Group、Boeing、Heineken、Deloitte、Central Network Retail Group、Legoなどが含まれています。
Zimperiumは結論として次のように述べています。「最終的に、こうした標的型キャンペーンから身を守るには、デスクトップ中心のWebゲートウェイの枠を超えて、モバイル接点における企業アイデンティティの保護に目を向ける必要があります」
翻訳元: https://www.helpnetsecurity.com/2026/08/26/recruitment-scam-corporate-passwords-mobile/
