Barracudaの研究者によると、あるフィッシングキャンペーンでは、被害者を正規のMicrosoft OAuthおよびTeamsインフラ経由で誘導した後、被害者自身のブラウザ内で丸ごと生成された偽ログインページを表示させる手口が確認されました。
「悪意のあるコンテンツはウェブサーバーから配信されるのではなく、blob URL――ウェブサイト上ではなくローカルのメモリ内に保存されたコンテンツを指す、ブラウザが生成する一時的なURL――を使って被害者のブラウザ内で組み立てられます」と研究者は説明しています。
この攻撃は、カレンダー招待を添付ファイルとして含むDocuSignを騙るメールから始まります。この招待自体はペイロードではありません。メッセージを普通の会議依頼のように見せかけるためのものであり、明らかに不審なものではなく正規のMicrosoft OAuthエンドポイントを指しているために、この手口は有効に機能します。
DocuSignになりすましたフィッシングメール（出典: Barracuda）
細工されたリダイレクトパラメータにより、被害者は続いてMicrosoft Teamsへ送られます。Teamsは外部ドメインcdn.bloom[.]ioでホストされているリソースを読み込み、最終的にフィッシングページは被害者のマシン上で完全にblob URLからレンダリングされることになります。
ページが読み込まれると、サービスワーカーが登録され、そのロジックの一部はサンドボックス化されたiframe内で実行されます。これらのコンポーネントにより、攻撃者側のバックエンドはブラウザメッセージングを通じてページにリアルタイムで指示を送ることができ、ハードコードされたリダイレクトに頼ることなく、攻撃側が被害者に表示する内容を自在に変更できるようになっています。
「隠された指令サーバー（C2）の設定が存在することから、これは単体のページではなく、多数の被害者に対して一元的に運用・更新・制御できる、管理型のフィッシングプラットフォームの一部であることが分かります」と研究者は指摘しています。
Barracuda、より強固なID管理対策を呼びかけ
Barracudaは、OAuthの認可フローやリダイレクトチェーンに想定外の遷移先がないか監視すること、ログインや認証の文脈におけるblob URLの活動を確認すること、そして外部から読み込まれたコンテンツに紐づくサービスワーカーの登録にフラグを立てることを利用者に呼びかけています。
また、FIDO2キーやパスキーなどのフィッシング耐性を持つ多要素認証（MFA）の導入、最初のホップだけでなくリンクの遷移経路全体を追跡するメールセキュリティツールの活用、さらに信頼できるMicrosoftのインフラを経由している場合であっても文書署名の依頼を疑うようスタッフを教育することも推奨しています。
Barracudaの準脅威アナリストであるAshitosh Deshnur氏は、「今回のキャンペーンは、フィッシングが偽サイトや不審なドメインという枠を超えて進化していることを示すもので、セキュリティチームが従来検知の拠り所としてきた多くの兆候が失われつつあります」と述べています。
Deshnur氏は「組織は既知のフィッシングURLを単に遮断するのではなく、悪意ある挙動の特定とID関連の管理体制の強化に注力すべきです」と結論づけています。
翻訳元: https://www.helpnetsecurity.com/2026/09/10/browser-based-phishing-blob-urls-microsoft-oauth/
