FBIが著名人を標的にした巧妙なフィッシングキャンペーンについて警告

著名人や社会的地位の高い人物、そしてその家族や知人が、あるコマーシャル向けメッセージングアプリを通じて狙われています。攻撃者は機密データを含むアカウントへの長期的なアクセス権を得ることを目的としており、FBIは火曜日に発表したアラートの中でこの手口について警告しました。

当局は攻撃者の目的や出自については言及していませんが、これまでのところ攻撃者は政府関係者やジャーナリスト、著名な有名人になりすましているとのことです。攻撃者は、記事や文書の草稿を確認してほしいという名目で、被害者を騙してMicrosoftやGoogleといった正規のクラウドサービスへのアクセス権限を付与させています。

FBIが2025年末から追跡しているこの脅威は、「パスワードを必要とせずにユーザーアカウントへアクセスするための、巧妙かつ欺瞞的な手口」だと同局は広報発表の中で説明しています。攻撃者はOAuth同意フィッシングを可能にする悪意あるリンクを使うことで、標的となった被害者のアカウントに継続的にアクセスできるようになります。

「一度アクセス許可が得られてしまうと、それを取り消せるのは被害者自身がアプリのセキュリティ設定でトークンを無効化した場合のみです。パスワードを変更しても取り消すことはできません」とFBIは述べています。

当局は、このキャンペーンで標的にされた被害者の詳細や、すでに侵害された人数については明らかにしていません。この脅威アクターは以前にも、イベントの運営担当者や企画者になりすまし、招待状や本人確認要求を口実にしてアカウントへのアクセス権を得ていたことが確認されています。

攻撃者はOAuth同意フィッシングを使って何も知らない被害者をソーシャルエンジニアリングの手口で騙すことで、標的が設定している権限を完全に把握し、メールやファイル、その他の機密データへアクセスできるようになります。

「ユーザーがリクエストを承認してしまうと、本人が気づかないうちに、サイバー犯罪者が管理する悪意あるアプリケーションに高いレベルのアクセス権限を与えてしまうことになります」とFBIは付け加えています。「正規の認可プロトコルを通じて悪意あるアプリケーションを登録し、ソーシャルエンジニアリングの手法を用いることで、サイバー犯罪者はパスワードと多要素認証の両方を回避できてしまいます。これが同意フィッシングを特に危険なものにしている理由です」

OAuthは、APIをはじめとするアプリケーションやその他のサービスへのアクセスを認可するための、標準化され広く採用されているプロトコルです。この規格ではトークンを使って、別のリソースやサービスへの認可済みアクセスを確立・維持します。 

FBIは、見覚えのない電話番号やアカウントからの連絡には注意を払い、送信者の身元を独自に確認したうえで、信頼できるアプリケーションにのみアクセス権限を付与するよう呼びかけています。