- 偽のWatchGuard VPNサイトが、正規ソフトウェアを配布しながら管理者の認証情報を窃取
- 攻撃者はVPNサーバーのアドレス、ユーザー名、パスワードを収集
- 不正サイトは最初の入力を拒否し、認証情報を2回入力させる仕組み
WatchGuardを装った偽のダウンロードサイトが、正規のインストールパッケージを提供しながらVPNのログイン情報を盗んでいたことが、専門家の調査で明らかになりました。
Huntressのセキュリティ調査チームは、この活動をそっくりなドメインにたどり着きました。このドメインは、正規のクライアントをダウンロードさせる前に接続情報を収集していました。
マネージドサービスプロバイダー（MSP）に勤務する管理者の不審な動きが検知されたことをきっかけに、調査が始まりました。
偽のダウンロードページでユーザーの認証情報を収集
調査の結果、このユーザーはBingでWatchGuardのVPNダウンロードを検索し、ベンダーの公式ダウンロードページに似せた偽サイトを訪問していたことが判明しました。
watchguard-vpn[.]netというこのサイトは、モバイルVPN「Mobile VPN with SSL」のダウンロードを装い、サーバーアドレス、ユーザー名、パスワードの入力フォームを表示していました。
これらは正規のVPNクライアントが必要とする情報と一致しており、通常のインストール手順のように見せかけていました。
フォームを送信すると、情報は別のドメインwatchguard-ssl[.]onlineに送られます。攻撃者はここで認証情報を収集し、組織のネットワークへの攻撃に利用する可能性があります。
不正なスクリプトは最初の送信を拒否して入力欄を空にし、被害者に再入力を促します。これにより、攻撃者は複数回分のパスワード入力を入手できる可能性があります。
Huntressによると、攻撃者はダウンロード用ドメインを2026年8月22日に、認証情報収集用ドメインを9月14日に登録していました。
WatchGuardは1月にもこの類似アドレスを報告していましたが、当時、訪問者を不正なダウンロード手順に誘導する機能は確認されていませんでした。
正規ソフトウェアが認証情報の窃取を隠蔽
サイトは2回目の入力を受け取ると、偽のインストールパッケージではなく、WatchGuardの公式コンテンツ配信ネットワークからダウンロードを開始します。
ダウンロードされるファイルは、Mobile VPN with SSLクライアントのバージョン12.11.5でした。WatchGuard Technologiesの有効なデジタル署名が付され、タイムスタンプは2025年11月4日でした。
Huntressは、署名後にインストーラーが改変されていないことを確認しました。つまり、攻撃者が正規の実行ファイルを改ざんした形跡は見つかっていません。
この手口は、改ざんしたインストーラーや悪意のあるライブラリを配布するキャンペーンとは異なります。そうした攻撃は、エンドポイント保護製品がファイル検査で検出できる場合があります。
また、正規のソフトウェアがダウンロードされるため、被害者は認証情報がすでに漏えいしたとは疑いにくくなります。その後のインストールも通常どおり進められるからです。
Huntressは、調査対象のインシデントでは公式サーバーからのダウンロード記録を確認していません。このことから、ユーザーは2回の認証情報入力を完了していなかった可能性があります。
検知は、不正サイトの読み込みから21秒後に行われました。これにより、セキュリティ運用チームはさらなる被害拡大が確認される前に、対応方法を助言できました。
Huntressによると、主要な偽ドメインは10月13日までにオフラインになりました。ただし、関連インフラが別の場所で稼働を続けているかどうかは不明です。
この攻撃では、偽サイトがブラウザー経由でVPNの認証情報を盗んでから正規ソフトウェアをダウンロードさせるため、多くのマルウェア対策チェックをすり抜けます。
組織は、漏えいしたパスワードのリセット、多要素認証の有効化、不審なVPNログインの確認を実施してください。あわせて、従業員に公式のソフトウェアダウンロードページを利用するよう周知することも重要です。
