複数のGoogleサービスを悪用したフィッシング攻撃、リダイレクト経由で認証情報を窃取
Googleのリダイレクト機能を悪用、認証情報の窃取を狙うフィッシング攻撃
Googleの複数のサービスやリダイレクト機能を悪用し、ユーザーをフィッシングページへ誘導して認証情報の窃取を狙う大規模なフィッシングキャンペーンが確認された。攻撃者はGoogleの正規ドメインを経由する複数のリダイレクトを攻撃チェーンに組み込み、メールセキュリティ製品によるURL検査を回避しながら、最終的なフィッシングページへユーザーを誘導する。
今回のキャンペーンでは、Google Meetのリンクを利用したリダイレクトのほか、Google SearchやDoubleClickのクリック追跡URL、Google Tag Managerなどが攻撃に悪用されている。これらの正規サービスを経由させることで、攻撃チェーンの途中にGoogleの信頼されたドメインを組み込み、最終的に攻撃者が用意したフィッシングページへアクセスさせる仕組みとなっている。
この手法では、メール内のリンクがGoogleの正規インフラを経由するため、URLやドメインのレピュテーションを利用するセキュリティ検査では判定が難しくなる可能性がある。ユーザーはGoogleのドメインから複数のリダイレクトを経由した後、正規サービスを装ったフィッシングページへ誘導される。
URLフラグメントで標的情報を引き継ぎ、フィッシングページを個別化
攻撃では、URLのハッシュフラグメント（「#」以降の部分）を利用して標的となるユーザーのメールアドレスをフィッシングページへ引き継ぐ手法が用いられている。フラグメント部分は通常、HTTPリクエストとしてサーバーに送信されないため、一部のURL解析やセキュリティ検査では標的を識別する情報が確認されにくくなる可能性がある。
最終的なフィッシングページでは、取得したメールアドレスに加え、ブラウザの設定やIPアドレス、位置情報などを利用して表示内容を標的ごとに調整し、正規のログインページを装って認証情報の入力を誘導する。入力された認証情報はTelegramボットを介して攻撃者へ送信される。
さらに、偽のパスワードエラーを表示してユーザーに認証情報を再入力させ、追加の情報を収集する動作も確認されている。一部の標的に対しては、リモート監視・管理（RMM）ツールのScreenConnectをインストールするよう誘導し、攻撃者が侵害した端末へのリモートアクセスを確保しようとする。
リダイレクトやTelegram Bot APIへの不審な通信を監視
組織では、Googleの正規ドメインを経由するリンクであっても、複数のリダイレクトを経て外部サイトへ接続する不審な通信を確認することが対策となる。また、Telegram Bot APIへの通常とは異なる通信や、既存のIT管理プロセスとは無関係なScreenConnectのインストールおよび実行についても、今回の攻撃を検知する手掛かりとなる。
攻撃に使用されたフィッシングドメインや関連インフラを特定した場合には、メールやネットワーク環境でアクセスを制限するとともに、関連する認証情報の使用状況や不審なログインを確認する必要がある。正規のクラウドサービスやリダイレクト機能が攻撃チェーンに組み込まれるケースを想定し、最終的なリンク先やリダイレクト経路を含めて検査することがフィッシング攻撃の検知につながる。
