ハッカーがGoogleのリンクを悪用し、認証情報窃取を隠蔽

見慣れたGoogleのアドレスが不審なメールに記載されていたら、それこそが攻撃者の狙いかもしれません。

KnowBe4 Threat Labは、企業の標的をいったん正規のGoogleサービス経由で誘導してから悪質なページへリダイレクトする、大規模かつ現在進行中のフィッシングキャンペーンを発見しました。研究者によれば、この仕組みによってリンクが初期段階のセキュリティチェックをすり抜けやすくなるといいます。

リダイレクトの連鎖が進むにつれて攻撃はますます個別化されており、被害者によっては自身の勤務先やメールアドレスに合わせて調整されたフィッシングページが表示されるケースもあります。

リダイレクトの仕掛けでフィッシングページを隠蔽

このキャンペーンにはさまざまな亜種があり、Google Meet、検索、DoubleClickといったサービスを異なる組み合わせで経由していたため、単一の固定経路を遮断するだけでは対処が困難でした。

一部のリンクでは、URLのうち以前のサービス段階では受け渡されなかった部分にターゲティング情報が埋め込まれており、これにより有用な情報が一部の自動チェックから隠されていました。

最終的なフィッシングページを表示する前に、攻撃者が管理するサイトは訪問者が本物の企業標的らしいかどうかを確認します。偽の人間認証プロンプトや企業ドメインのチェックにより、研究者や自動スキャナーに悪質なページが見られる可能性を減らしていると見られます。

被害者は自らの職場に合わせて作り込まれたページに誘導される

これらのチェックを通過した訪問者は、勤務先に合わせて組み立てられたページに到達する場合があります。報告によれば、このキットは企業の実際のロゴを取得し、その企業の公開ウェブサイトの画像の上にログインプロンプトを重ねて表示できるとされています。被害者のメールアドレスもあらかじめ入力された状態で表示されることがあります。

16言語への対応は、世界規模でのターゲティングを示唆しています。KnowBe4の観測では、製造業や政府機関に加え、金融機関や非営利団体など幅広い企業が標的となっていました。誘導文言には、文書レビューの依頼やメールボックス期限切れ警告など、業務関連のメッセージが使われていました。

一部のセッションでは、認証情報やデバイス認証コードを窃取するために作られた偽のMicrosoftサインインページへ誘導されます。また別のケースでは、偽の本人確認プロンプトを使ってScreenConnectをインストールさせる手口が用いられています。ScreenConnectは正規のリモート管理ツールですが、攻撃者は他の侵害事例でも悪用してきました。

ScreenConnectが絡むと、攻撃者はエンドポイントへの対話的なアクセス権を得られるため、単なるアカウント窃取にとどまらず被害が拡大する可能性があります。

ScreenConnect経由の経路はリスクを一段と高めます。攻撃者がアカウント認証情報の窃取だけにとどまらず、エンドポイントへの対話的アクセスを獲得できてしまうためです。

信頼できるリンクだからこそ、従業員と防御側双方に異なる確認が求められる

従業員は、リンクが見慣れたものであることを「安全である証拠」とせず、むしろ「確認すべき理由」として捉えるべきです。リンクの入り口に正規のサービスが使われていても、最終的にたどり着くのが洗練されたログインページであっても、それでもなおフィッシング攻撃の一部である可能性があります。

リモートアクセスソフトウェアがインストールされた可能性がある場合、セキュリティチームはパスワードリセットだけで対応を終えるべきではありません。多要素認証(MFA)や認証情報のリセットはアカウント保護に役立ちますが、攻撃者がすでにアクティブなリモートアクセスセッションを通じてエンドポイントを掌握している場合には、それを排除することはできません。

そうしたケースでは、端末そのものが侵害された可能性があるものとして扱い、それに応じた調査を行うべきです。

その他のサイバーセキュリティニュース: 防御側がマルウェア運用の元のバックエンドを妨害した後も、偽のMinecraftサイトによってWeedHackは活動を継続していました。