- フィッシングキャンペーンがカレンダーの招待や会議リクエストを悪用し、Microsoft 365の認証情報を窃取している
- 攻撃者は.icsファイル、偽の会議詳細、QRコード、招待ページに悪意あるリンクを隠している
- 研究者は、4万を超える組織を狙った数十万通のフィッシングメールを確認した
受信トレイにカレンダーの招待が届いたら、注意が必要です。Microsoft 365などのログイン情報を入力させるために、巧妙に作られたフィッシングの罠かもしれません。
セキュリティ企業のCheck Point Research(CPR)は最近、「複数の大規模フィッシングキャンペーン」について警鐘を鳴らしました。ビジネスパーソンが日常的にカレンダーの招待をやり取りしている点を悪用するもので、いずれも被害者の認証情報を収集することを狙っています。
手法は異なっても結果は同じ
CPRによると、確認された手法は2種類あります。1つ目は、攻撃者がカレンダーの招待を.ics形式の添付ファイルとして送りつけるケースです。ファイル形式そのものは無害なため、メールフィルターを通過し、そのまま受信トレイに届きます。2つ目は、招待をリンクとして送るケースです。被害者はカレンダーから別のサイトへ誘導され、罠にはまります。
危険度が高いのは前者でしょう。添付ファイルは会議リクエストや支払い通知を装っており、受信者が開いたり承諾したりすると、カレンダーに登録されます。ユーザーの設定によっては、カレンダーのエントリーが自動的に処理される場合もあります。いずれの場合も、不正な内容が通常の業務予定やサービス通知のように見えてしまいます。
ここまでは、それ自体が悪意ある動作や危険な動作というわけではありません。脆弱性の悪用やマルウェアの展開もありません。しかし、イベントの説明欄、場所欄、埋め込まれたQRコードなどが、被害者を偽のMicrosoft 365サインインページや不正な支払いポータルへ誘導することがあります。偽装されたページだと気づかない被害者は、ログイン情報や支払い情報を攻撃者に渡してしまいかねません。
後者の手法は準備が簡単ですが、成功させるのは難しいといえます。メール本文に直接置いたリンクは、一見無害に見えても、メールセキュリティのサービスに検知されて迷惑メールに振り分けられる可能性があるためです。ただし、これをすり抜けた場合、被害者がだましを見抜くのはかなり困難です。
CPRが紹介した事例では、被害者が偽のMicrosoft Teams会議の招待を受け取りました。「参加」リンクにカーソルを合わせるだけで、実際のリンク先が第三者のウェブサイト上にある認証情報収集ページだと判明したといいます。
大規模なキャンペーン
CPRは、これらのキャンペーンがかなりの規模で、なお拡大していると強調しています。こうしたメールは、数えきれないほどの侵害されたメールアドレスから、毎月数十万通も送信されています。
報告書は次のように述べています。「Check Pointのメール研究者はこれらのキャンペーンを追跡しており、2026年9月25日から大幅な急増を確認している」
「この種の攻撃を識別するために特別に設計した新たな検知レイヤーは、当社顧客のメールのうち、4万を超える組織に送られた302,386通以上の固有のフィッシングメールを検知した」
CPRによると、キャンペーンでは稼働日1日あたり平均8,300通を超えるメールが送られました。送信元ドメインは33,890以上、固有の送信元アドレスは247,270以上に上るといいます。
研究者らは次のように結論づけています。「活動は衰えておらず、むしろ加速している。1日あたりの送信量は、4月には月に数千通だったが、9月には118,000通を超え、10月はわずか最初の2週間で740,000通を上回った。これまでで最も多かった日は10月8日で、200,000通近くに達した」
フィッシングは、最も古くから使われてきた攻撃手法の1つであり、今も広く使われています。それには理由があります。どこにでも存在するうえ、標的ネットワークを侵害するための最も低コストで効果的な手段だからです。
とはいえ、その対策は多くの場合、常識的な判断が基本になります。従業員には、身に覚えのないメールにはサイバー攻撃の現実的なリスクがあることを周知すべきです。また、ファイルの至急ダウンロードやサービスへのログインを求めるメールやインスタントメッセージは、攻撃の試みである可能性が高いことも伝える必要があります。
