- Check Pointが、音声メール文字起こし通知を装ったフィッシングメールを検出。7,800以上の組織が被害に
- 悪意のあるSVG添付ファイルが被害者のメールアドレスを自動入力し、偽のログインページへ誘導して認証情報を窃取
- SVG形式はフィルターを回避。企業には通知内容の確認と、SVGをアクティブコンテンツとして扱うことが求められる
攻撃者は新たなフィッシングの手口として、自動音声メール文字起こし通知を悪用しています。すでに数千の組織を標的に、数万通もの悪意あるメールを送りつけています。
Check Point Research(CPR)のセキュリティ専門家は最新のレポートで、すでに数千の組織を標的にした進行中のキャンペーンを検出したと報告しました。
このキャンペーンの狙いは認証情報の窃取とみられ、メールアカウントやビジネスサービスなどへのアクセス権を奪うことが目的のようです。
トレンドを悪用する手口
AIの普及により、オフィスでは新たなトレンドが生まれています。それが自動音声メール文字起こし機能です。ボイスメールを受信した人は、それを聞く代わりに文字起こしを読むという選択ができます。騒がしい職場環境や、スピーカーで流すには機密性が高すぎる内容のメールには便利な機能です。自動化されたシステムが、見慣れた形式で文字起こしを受信者の受信箱に送信するため、受信者はこの種のメールを受け取ることに慣れており、疑いや警戒心を抱きにくくなっています。警戒心が緩んでいるこの状態は、攻撃者にとって絶好の機会となります。
「8月17日から8月31日の間に、Check Pointはこのキャンペーンに関連する58,000通以上のメールを確認しました。この攻撃は7,800を超える組織を標的とし、9,300以上の偽装ドメインにまたがる38,400以上の偽装送信者アドレスを利用していました」と研究者らは説明しています。
これらのメールは、受信者がすでに見慣れているシンプルな型式に沿っています。各メッセージの件名は「Automated transcript(自動文字起こし)」で始まり、続いて一部が伏せられた電話番号とランダムな追跡文字列が付加されます。「その効果は意図的に控えめに演出されています。信頼できる職場システムが生成したように見える通知、という形です」とCPRは説明しています。
メールのドメインも、同一組織内から送られてきたように見えるよう偽装されています。
SVG添付ファイル
すべてのメールには添付ファイルが付いています。「▷ ——— 001min 09sec_….svg」のような名前を使い、通常の通話録音ファイルに見えるよう作られています。しかし注目すべきはファイル形式です。SVGとなっています。これは音声ファイルではなく、Scalable Vector Graphics(SVG)という画像ファイルの略称です。攻撃者がこの特定の形式を選ぶ理由はいくつかありますが、最大の理由は、SVGがJavaScriptを含むことができるXMLベースの文書だという点にあります。ブラウザがSVGを開くと、そのJavaScriptが実行され、被害者を偽装されたログインページへリダイレクトし、ログインを求める仕組みです。
今回のケースもまさにこの手口が使われています。さらに悪質なことに、受信者のメールアドレスがURLにハードコードされているため、偽のログインフォームにはそのアドレスが自動的に入力されます。被害者がSVGを開くと、「ユーザー名」欄がすでに入力された状態のログインページにリダイレクトされ、より個人向けにカスタマイズされているように見せかけることで信憑性を高めています。
SVGがこうした攻撃で好んで使われるもう一つの大きな理由は、メールセキュリティシステムを回避できる点にあります。メール本文にハイパーリンクを仕込んだ場合、システムによってスキャンされ、悪意があると判明すれば無害化されてしまいます(実際そうなるでしょう)。しかしリンクがなければ、セキュリティシステムがチェックできるのは添付ファイルだけであり、そこで警戒対象となるのは通常.exe、.docx、.pdfといったファイルです。SVGファイルに注目しているシステムはごくわずかです。
変化への適応
Check Pointの研究者らは、今回のキャンペーンは自動化が進む中で攻撃者が企業のワークフローにいかに素早く適応しているかを示す好例だと警告しています。これを受け、企業は自動通知を、特に送信者が受信者と同じドメインに見える場合には、検証が必要な兆候として扱い始めるべきです。
さらに企業は、AIエージェントが人間の確認なしにアクセスできるファイル形式やドメインを明確に定義すべきであり、そして何よりも、SVG添付ファイルを単なる画像としてではなく、アクティブコンテンツとして検査する必要があります。
