アウトサイダー・フィッシングキット、テイクダウン後も稼働継続 新規ページ700件超を確認

フィッシング・アズ・ア・サービス(PaaS)の一種が、協調的なテイクダウン(摘発)措置を受けたにもかかわらず新たなキャンペーンを生成し続けており、摘発から1か月以内に700件を超える新規フィッシングページが確認されたことがわかりました。

Group-IBによると、同社の研究者らは「ChenLun」として知られる脅威アクターが運用する「Outsider Phishing Kit」を追跡し、2025年12月から2026年5月の間に54か国以上を標的とした10万件を超えるフィッシングページを特定したということです。

9月3日に公開された調査結果によれば、Googleが6月12日に同グループに対して民事訴訟を起こし、翌日にはFBIサイバー部門がGoogleおよびLumenのBlack Lotus Labsとの協調作戦「Operation Ghost Hook」を発表した後も、この活動は継続していたということです。

FBIによると、この作戦では同グループの中核となる管理サーバー、Shopifyのストアフロント、決済ウォレットから約10万ドル、そして米国のプロバイダーを通じて登録された数千のドメインが押収されたとのことです。

テイクダウン後も新規フィッシングページが出現

Group-IBは、Operation Ghost Hook以前の段階でOutsiderに関連する1万件を超える固有ドメインを特定していました。その後、さらに700件を超える追加ドメインを確認しており、インフラの解体を目指した取り組みにもかかわらず、アフィリエイトがこのキットを使い続けていることを示しています。

同プラットフォームには、金融サービス、証券会社、通信事業者、郵便サービス、政府機関、料金徴収システムを対象とした267種類の既製フィッシングテンプレートが用意されていました。キャンペーンはSMS経由で配信され、キットの販売やアフィリエイト管理を行うTelegramのエコシステムを通じて展開されていました。

ChenLunはその後、当該のTelegramチャンネルを削除しています。停止される前の時点で、メイングループには5000人を超える登録者と、このキットを購入した230人を超えるユーザーが存在していたとGroup-IBは述べています。

フィッシング摘発関連の記事: Tycoon2FAフィッシングサービス、テイクダウン後に活動を再開

研究者らは、シンガポール陸上交通庁(LTA)を装ったスミッシング(SMSフィッシング)キャンペーンを調査しました。メッセージは、データ同期に問題が発生したとする虚偽の緊急性を演出し、端末側のスパムフィルター機能を回避する方法まで受信者に指示していました。

偽装されたポータルは車両登録番号と電話番号を収集した後、被害者を不正な決済画面へリダイレクトしていました。Group-IBによると、収集された電話番号は後の段階でSMS認証コードを傍受する目的で利用される予定だったとのことです。

リアルタイムのやり取りが認証情報窃取を後押し

Outsider Phishing Kitには、フィッシングの流れの中で被害者とやり取りするよう設計されたアドバーサリー・イン・ザ・ミドル(AiTM)機能が組み込まれていました。

Group-IBによると、オペレーターはSMS・メール・PIN・アプリベースの多要素認証(MFA)チャレンジを動的に生成して提示できるほか、被害者を前段階のページへ再度誘導し、追加の決済情報を要求することも可能だったということです。

このキットはまた、WebSocketsを使用してフィッシングページとオペレーターパネルの間でリアルタイム通信を実現していました。被害者が入力したデータはリアルタイムで送信され、フォームを送信せずに離脱した場合であってもその情報が送信されていました。

Group-IBは、金融情報、銀行口座の認証情報、PayPal情報、認証コードを取得するJavaScriptコンポーネントを特定しました。研究者らはさらに、ブラウザセッションをまたいで被害者を追跡する仕組みや、セキュリティ用クローラーを検知する仕組みも発見しています。

各ページは一貫したファイル命名規則に従っており、アルファベットの接頭辞によって攻撃フローにおける被害者の進行段階が示されていました。Group-IBは、組織に対してこのファイル名の特徴を手がかりに新規ページを追跡し、テイクダウンにつなげるよう推奨しています。

この脅威から身を守るため、同社はさらに、SMSを悪用したブランド不正利用を継続的に監視することを推奨するとともに、個人に対してはメッセージ内のリンクではなく公式アプリを通じてアラートの真偽を確認するよう助言しています。