DOUBLOON DREDGER、Notion通知を悪用して認証トークンを窃取

攻撃者集団が、ごく普通のNotion通知を武器に変えて従業員の認証情報を盗み出す手口を編み出しました。DOUBLOON DREDGERと呼ばれるこのグループは、経営幹部を装った偽アカウントを作成し、文書共有の招待を送りつけたうえで、複数のPDFファイルを経由させて被害者を誘導し、最終的に認証トークンが盗まれるページへと導きます。

2026年7月に発覚した巧妙なキャンペーン

Sublime Securityの研究者らは、2026年7月にこのキャンペーンを発見しました。攻撃者は企業幹部の名前で無料のNotionアカウントを登録し、文書が共有されたという通知を従業員に送信します。このメールはNotionの正規サービスを経由して届くため、DKIM、SPF、DMARCの各チェックを問題なく通過し、非常に信憑性の高いものに見えました。

幾重にも重なるPDFを介した多段階のリダイレクトチェーン

受信者が「Get Started」ボタンをクリックすると、中継用のPDF文書に誘導されます。このファイルには複数のリンクが幾重にも重ねて埋め込まれており、この手法によってセキュリティフィルターを回避しやすくなり、検知されるまでの有効期間が延びていました。そこから被害者は、EvilTokensプラットフォームに接続された偽のログインページへとリダイレクトされます。

EvilTokens：デバイスコードフローを悪用したトークン収集

EvilTokensは、デバイスコード認証方式を悪用してトークンを盗み出す仕組みで動作します。被害者には確認コードが表示され、本物のMicrosoftログインページを開いて本人確認を行うよう指示されます。被害者がこのコードを入力し、案内された手順に従うと、攻撃者は有効な認証トークンを取得します。これにより、以降はパスワードを一切必要とせずにアカウントへログインできるようになります。

アカウント乗っ取りからMailVaultによるメールボックスアクセスへ

アカウントが侵害されると、攻撃者はMailVaultと呼ばれる追加ツールへのアクセス権を得て、被害者のメールボックス内で直接操作できるようになります。ここまでアクセスが可能になると、支払い詐欺や、侵害したアカウントから送信される新たなフィッシングメールなど、企業間のやり取りを狙ったさらなる攻撃への道が開かれます。

Tycoon2FAおよびEvilTokensのエコシステムとの関連

研究者らは、DOUBLOON DREDGERをTycoon2FAおよびEvilTokensのサービスと関連付けています。どちらも犯罪サービスとして貸し出されているツールであり、有効な稼働中のセッショントークンを直接盗み出すことで多要素認証を回避するよう設計されています。

広く共有されている文書生成ツールキットの痕跡

Sublime Securityはこのキャンペーンの分析中に、類似した追加のPDFファイルを14件確認しました。一部のサンプルはKratosを含むまったく別のフィッシングキットと組み合わされており、基盤となる文書生成ツールキットが脅威の状況全体で広く使われていることがうかがえます。このPDF生成ツールが単一のグループに属するものなのか、それとも複数の独立した攻撃者間で共有されているものなのかは、現時点では明らかになっていません。