AccountDumpling、Google AppSheet悪用しFacebook3万件標的フィッシング

正規インフラ悪用によるフィッシング手法

Guardian Labsの分析により、Facebookアカウントを標的としたフィッシング作戦「AccountDumpling」が確認されている。本キャンペーンでは、Google AppSheetを利用して送信元が認証されたメールが配布される構成となっている。

これにより、SPF・DKIM・DMARCといった認証を通過したメールがユーザーに届けられるケースが確認されている。攻撃では、複数のサービスを組み合わせたインフラが用いられ、認証情報の取得が行われる。

具体的には、Netlify上のページでFacebookのサポートサイトを装い、Vercelの機能を利用して認証表示を模倣する手法が確認されている。こうした誘導により、資格情報や多要素認証コードの入力が行われ、アカウントへのアクセスが可能となる構成となっている。

リアルタイム制御を伴うフィッシングインフラ

本キャンペーンでは、Google Drive上に配置されたPDFファイルを起点とした誘導手法が確認されている。PDF内のリンクを通じて、Socket.IOベースのフィッシングパネルへリダイレクトされる構成となっている。

当該パネルではWebSocket通信を利用したリアルタイム制御が行われ、セッション情報や認証トークンの取得が可能な状態となっている。

また、インフラの一部にはベトナム関連の痕跡が確認されており、開発環境やコード内の情報から関連性が指摘されている。本キャンペーンは複数地域に影響を及ぼし、Facebookアカウントを対象とした広範な情報窃取が確認されている。