新種のフィッシング攻撃、Blob URLを悪用してセキュリティスキャナーから悪意あるページを隠蔽

クレデンシャル(認証情報)を窃取するページを、攻撃者が管理するWebインフラから被害者のブラウザ内へと移すフィッシングキャンペーンが確認されました。

いずれ検知・停止に追い込まれる可能性のあるドメイン上に偽ログインポータルをホストする通常のフィッシングキットとは異なり、このキャンペーンでは被害者が攻撃チェーンをたどった後に初めて悪意あるコンテンツが組み立てられます。

Blob URLとは、リモートでホストされたWebページではなく、ローカルメモリ上に保持されたコンテンツを参照する一時的なブラウザアドレスです。

そのため、このフィッシングページには永続的な公開URLが存在せず、アクティブなブラウザセッション内にのみ存在することになります。

このキャンペーンは、通常のビジネス文書署名依頼を装ったDocuSignをテーマとするメールから始まります。

メッセージにはカレンダー招待の添付ファイルが含まれていますが、これ自体がペイロードというわけではなく、通常の会議やワークフロー通知のように見せかけることで信頼性を高める役割を果たしています。

リンクを操作した被害者は、Microsoft OAuthエンドポイントやMicrosoft Teamsを含む正規のMicrosoftサービスを経由して誘導されます。

Barracudaの研究者によると、この攻撃はブラウザが生成するBlob URLを利用して偽の認証ページをローカルでレンダリングするため、防御側は事前にクロールしたり分類したり、ブロックリストに登録したりできる従来型のフィッシングサイトを一切持たないことになります。

Blob URLを悪用したフィッシング攻撃

細工されたリダイレクトパラメータは、最終的にTeamsにcdn.bloom[.]ioからの外部コンテンツを読み込ませます。ブラウザはそのコンテンツを通常の外部Webページとして表示するのではなく、Blob URLへと変換し、フィッシングインターフェースをローカルでレンダリングします。

この一連の流れは、危険な「信頼の証」を生み出します。攻撃の初期段階では、ユーザーは見慣れたMicrosoftのドメインやブランディング、ナビゲーションの挙動を目にするため、クレデンシャルフィッシングに一般的に見られる明白な兆候が減少してしまいます。

自動スキャナーも同様の問題に直面する可能性があります。ブラウザ側でページが生成される前の初期リンクパスは、無害に見えたり、信頼できるMicrosoftホスト型インフラを経由して見えたりすることがあるためです。

ローカルで生成されたフィッシングページが読み込まれると、サービスワーカーが登録され、ワークフローの一部がサンドボックス化されたiframe内で実行されます。

サービスワーカーはネットワークアクティビティを管理し、バックグラウンドでページの挙動に影響を与えることができます。一方、サンドボックス化されたiframeは、悪意あるインターフェースの一部を分離・連携させることができます。

この攻撃は、バックエンドインフラとブラウザのメッセージング機構によって動的に制御されてもいます。つまり、攻撃者側は固定のリダイレクトやハードコードされた宛先に依存する必要がありません。

攻撃者は、静的なクレデンシャル窃取ページを再構築したり再ホストしたりすることなく、リアルタイムでフィッシングフローを変更し、標的を切り替え、コンテンツを更新し、被害者を誘導することができます。

このアーキテクチャは、単発の誘導ではなく、中央集権的に管理されたフィッシングプラットフォームであることを示唆しています。

隠されたコマンド&コントロール(C2)の構成により、攻撃者は複数の被害者にまたがるキャンペーンを連携させながら、従来型のセキュリティツールが検知やテイクダウンに用いるドメイン、ページソース、安定したURLといった永続的な痕跡を最小限に抑えることができます。

CompareSecurity Systems

今回のキャンペーンは、URLのレピュテーション(評判)だけに頼るフィッシング対策では、もはや不十分になりつつある理由を浮き彫りにしています。

セキュリティチームは、特に信頼されたクラウドサービス、リダイレクト、ブラウザAPI、認証プロンプトが交差する部分において、相互作用の連鎖全体を精査する必要があります。

Barracudaは、OAuth認可フローとリダイレクトチェーンにおける不審な宛先の監視、ログインおよび認証コンテキストにおけるBlob URLの使用状況の検査、外部由来コンテンツに紐づく不審なサービスワーカー登録の特定を推奨しています。

また、盗まれたパスワードの価値を下げるため、FIDO2セキュリティキーやパスキーなど、フィッシングに耐性のある多要素認証(MFA)を導入することも推奨されています。

メールの防御策としては、最初のURLだけでなくクリックパス全体を分析する必要があります。また、ユーザー啓発プログラムでは、見慣れたMicrosoftドメインやDocuSignをテーマとした招待であっても、それだけでは認証リクエストが正当であるとは限らないことを強調すべきです。

Microsoft Teamsの管理者は、悪意あるURL保護機能を有効にすることもできます。この機能は、Teamsメッセージで共有されたURLを脅威インテリジェンス情報源と照合してスキャンし、既知の有害なリンクに対して警告を表示します。

これ単体でブラウザ常駐型フィッシングを排除できるわけではありませんが、攻撃チェーンのより早い段階に有用な制御を追加するものです。

★ 7段階のメトリックゲート型AI SOC導入フェーズを学ぶ – 無料AI SOC導入プレイブック2026をダウンロード。