攻撃者が著名人本人やその親族、個人的な知人を標的にし、プライベートなメールやファイルを含むアカウントへの持続的なアクセスを狙っていると、FBIが警告しています。
FBIのインターネット犯罪苦情センター（IC3）によると、「OAuthコンセントフィッシング」と呼ばれる手法を用いたこの活動は2025年末から続いているといいます。FBIはこれを「パスワードを必要とせずにユーザーアカウントにアクセスする、欺瞞的かつ巧妙な手法」だと説明しています。
OAuthは、あるアプリケーションが別のサービス上のユーザーアカウントへのアクセスを、ユーザーがログイン認証情報を直接渡すことなく要求できるようにするフレームワークです。
「最近確認されている活動では、商用メッセージングアプリケーション（CMA）上で政府高官やメディア、その他の著名人になりすまし、標的とした人物に対し、悪意ある行為者が管理するアプリケーションを通じてファイル共有サービスを装った悪意あるリンクへのアクセスを働きかけている」と、FBIは勧告の中で述べています。
当局によると、攻撃者は正規のOAuthプロバイダーに悪意あるアプリケーションを登録し、「サードパーティの個人向けストレージサービスや本人確認サービス」に似せた名称を付けることがあるといいます。
その後、攻撃者は商用メッセージングアプリやメールを通じて標的に接触し、ジャーナリストや研究者、イベント主催者などを装って、文書の確認やアプリケーションを通じた本人確認を依頼します。
このリンクをたどると、被害者はMicrosoftやGoogleといったサービスプロバイダーの正規のログインページに誘導されます。
被害者が権限要求を承認すると、攻撃者のアプリケーションは付与された権限の範囲内でアカウントへのアクセス権を得ます。これ以降、攻撃者は被害者になりすまし、被害者のパスワードを一切必要とせずにメールの閲覧・送信や機密データへのアクセスが可能になります。
FBIによると、パスワードを変更してもこのアクセス権は取り消されません。被害者はアプリケーションのセキュリティ設定を通じてトークンを無効化する必要があります。
「サイバー攻撃者は、正規の認可プロトコルを通じて悪意あるアプリケーションを登録し、ソーシャルエンジニアリングの手口を用いることで、パスワードと多要素認証の両方を回避できてしまいます。これがコンセントフィッシングを特に危険なものにしています」と、FBIは警告しています。
FBIは、見覚えのない電話番号やアカウントから届いたメッセージにはより一層の警戒を払い、送信者の身元を独自に確認するよう勧めています。また、信頼できるアプリケーションに対してのみ認可を許可することも推奨しています。
FBIは、この攻撃の背後にいる人物や被害者については明らかにしていません。
翻訳元: https://www.helpnetsecurity.com/2026/09/02/oauth-consent-phishing-fbi-warning/
