Zoom通知メール悪用、コンテンツ注入型フィッシングを確認

Zoom通知メール悪用、コンテンツ注入型フィッシングを確認

Cofense Intelligenceは、正規サービスの通知メールに悪意のある内容を挿入する「コンテンツ注入型フィッシング」手法を確認したと報告している。この手法では、メール送信基盤そのものではなく、サービス内のユーザー入力フィールドが利用される。

分析によると、攻撃者はユーザー名、会議説明、ファイル名などのテキスト入力欄へ任意の内容を登録し、その情報が正規の通知メール内に表示される仕組みを利用している。今回の事例では、Zoomなどのオンラインサービスが悪用されたケースが確認された。

また、攻撃者はこれらのフィールドへURLや電話番号などを挿入し、受信者を外部サイトへ誘導していた。さらに、一部サービスではユーザーが画像を設定できる機能も利用されており、メール内に追加コンテンツを表示するケースも報告されている。

この手法の特徴は、送信元アドレスを偽装するのではなく、正規サービスから送信される通知メールの内容を利用する点にある。研究者によると、その結果としてDMARC、DKIM、SPFなどの認証を通過したメールとして配信されるケースが確認されている。

また、同様の仕組みはZoom以外のオンラインサービスでも利用可能であり、ユーザー入力フィールドを含む各種通知機能が攻撃フローに組み込まれる可能性があると分析されている。