フィッシングキャンペーンが世界規模で拡大、Googleのインフラを悪用してセキュリティを回避し認証情報を窃取

大規模なフィッシング活動が、信頼されているGoogleのサービスを多段リダイレクトのネットワークとして悪用し、メールセキュリティ対策を回避しながら、高度にパーソナライズされた認証情報窃取ページを配信していることが判明しました。一部のケースではScreenConnectのリモートアクセスソフトウェアをインストールするケースも確認されています。

CompareSecurity Systems

このキャンペーンの中心的な強みは、ゲートウェイやプロキシ、アナリストが検査を行うほぼすべての段階で、Google所有の信頼されたドメインを提示している点にあります。

攻撃者は悪意あるURLが検知を逃れることに頼るのではなく、正規のリダイレクト機能やトラッキング機能を信頼の代理として利用し、最終的なフィッシング先の露見を初期検査の後まで遅らせています。

実際に観測されたある攻撃チェーンでは、まずGoogle MeetのlinkredirectエンドポイントからGoogle検索へ移行し、その後DoubleClickのクリックトラッキングURLを利用しています。

その他のバリエーションでは、Googleカスタム検索のリダイレクト、地域別のGoogle画像検索ドメイン、Tag Managerのデバッグ機能、Analyticsのパラメータなどが使われています。

この手法により、Googleインフラの信頼性という恩恵を維持したまま、数多くのURLパターンを生み出すことが可能になっています。

攻撃メッセージは、DocuSignをはじめとするおなじみのブランドや、Microsoft、OneDrive、FedEx、Intuit QuickBooks、政府関連サービスなどになりすまし、受信者が日常業務でよく目にする企業内メールのワークフローを悪用しています。

主要な回避手法の一つが、URLのハッシュフラグメントを使ってターゲットのメールアドレスを運ぶという方法です。

ケースによってはこのアドレスがBase64でエンコードされています。ブラウザはURLのフラグメント部分をサーバーへ送信しないため、被害者を特定する情報がサーバー側のログや多くのURLスキャンの仕組みには残らない仕組みになっています。

最終的なフィッシングページは、このハッシュ値をローカルでデコードし、カスタマイズされたログイン画面の生成に利用しています。

リダイレクトチェーンを通過した後、被害者は攻撃者が管理する.vuドメインや侵害済みサイト、またはCloudflare Workersのエンドポイントに誘導される場合があります。

KnowBe4のThreat Labの研究者によると、この攻撃活動はターゲットをGoogle Meet、Google検索、DoubleClick、カスタム検索、画像検索、Google Tag Manager、Google Analyticsを経由させたうえで、攻撃者が管理するインフラへとブラウザを誘導しているとのことです。

一部のページでは、最初にインタースティシャルメッセージや偽の「Human Scan Process」CAPTCHA認証を表示します。これは自動化されたサンドボックス解析やURL検査を妨害する狙いがあるとみられています。

世界規模のフィッシングキャンペーン

このフィッシングキットは、認証情報の入力フォームを表示する前に訪問者のプロファイリングを行います。IPアドレスや位置情報を収集し、ブラウザの設定や言語をフィンガープリンティングしたうえで、Google Public DNSに対して被害者のメールドメインに関連するMXレコードを問い合わせます。

このMX検証チェックにより、運営者は正規の企業ターゲットと、有効なメールインフラを持たない研究者管理下のドメインやサンドボックス環境のドメインとを区別することができます。

このキャンペーンは、製造業、政府機関、金融、非営利団体などの組織を標的にしており、文書レビュー、Microsoft 365の期限切れ通知、FedExの配達通知、QuickBooksの支払い、社会保障、留守番電話などを口実に使っています。

CompareSecurity Systems

最終的なページは、被害者のメールアドレスを基に動的に生成されます。このキットは、Clearbitから組織のロゴを取得できるほか、フォールバックとしてGoogleのファビコンサービスを利用し、標的組織の公開Webサイトのライブスクリーンショットをログインページの背景として読み込むこともできます。

さらに、被害者のメールアドレスをあらかじめ入力しておいたり、ブラウザのタブタイトルを会社名に設定したり、インターフェースを16言語に対応させたりするなど、細部にまで作り込まれています。

これほどまでのブランディングの精巧さにより、通常であれば見抜けるはずの警告サインが取り除かれてしまいます。ユーザーが目にするのは、汎用的なMicrosoft 365のクローンページではなく、自社の視覚的アイデンティティやメールアドレス、Web上での存在感がそのまま反映された、見覚えのあるサインイン画面なのです。

このインフラは、二つの収益化経路をサポートしています。一つ目は、パスワードの窃取やデバイスコード認証フローの傍受を狙った、Microsoftのサインインページや不正なOneDrive文書ポータルへターゲットを誘導する経路です。

入力された認証情報は、被害者のIPアドレス、位置情報、ブラウザの詳細、MXレコードの状態とともに、攻撃者が管理するTelegramボットへ送信されているとみられます。

この窃取ツールは、最初の入力後に意図的に「Invalid password(パスワードが無効です)」というエラーを表示することで、二度目のパスワード入力を強制することも可能です。

二度目の入力後、被害者は実際の自社サイトへリダイレクトされ、一時的な認証トラブルが発生しただけのように見せかけます。その一方で、運営者側は二回分の入力データを手に入れることになります。

二つ目の経路は、偽の文書アクセスや本人確認を装ったプロンプトを使い、正規のリモート監視・管理ツールであるScreenConnectを配信するものです。

インストールに成功すると、攻撃者はエンドポイントへの永続的な対話型アクセスを手に入れます。これは単なるパスワードの窃取よりもはるかに強固な足がかりとなります。パスワードリセットを経ても存続し、侵害された端末上でのMFA(多要素認証)による保護をすり抜けることができるためです。

防御側は、Googleがホストするリンクだからといって無条件に安全だと見なすべきではありません。セキュリティチームはリダイレクトチェーン全体を検査し、通常とは異なるGoogleリダイレクトパラメータに警戒するとともに、ユーザーの端末からTelegramのBot APIへの通信を監視すべきです。

また、組織は承認されたIT管理業務に該当しないScreenConnectの不正な導入がないかについても調査する必要があります。

今回のキャンペーンで判明しているフィッシングインフラには、vazquezfleytas[.]com、zh-l-haixing[.]com、複数の.vuドメイン、そして悪意あるCloudflare Workersのエンドポイントが含まれます。

KnowBe4は、確認された侵害指標(IOC)をDNS、プロキシ、SIEMの各層でブロックし、該当する誘導メッセージを受け取ったユーザーを確認したうえで、漏えいの可能性がある認証情報をリセットするよう推奨しています。

侵害指標(IOC)

★ 7段階のメトリクスゲート型AI SOC導入フェーズを学ぶ – 無料AI SOC導入プレイブック2026をダウンロード。