ロシアやイランなど国家を後ろ盾とするフィッシングやマルウェア攻撃急増--グーグルが警告

　Googleは、国家の指示を受けている攻撃グループによるとみられる攻撃の標的になっている「Googleアカウント」のユーザーに警告を送るポリシーを採用しているが、2021年にはこのポリシーがフル稼働しているという。

　Googleのセキュリティエンジニアであり、同社の脅威分析グループ（TAG）のメンバーであるAjax Bash氏は、「2021年に入ってからこれまでに、すでに5万件の警告を送信しているが、この件数は2020年の同時期よりも33％近く多い。この急増は、主にAPT28あるいは『Fancy Bear』として知られるロシアの脅威アクターによる異例に規模が大きい攻撃キャンペーンをブロックしたことによるものだ」とブログ記事で述べている。

　ロシアを後ろ盾とするハッカーが大きな問題となっているというGoogleの指摘は、Microsoftのデータにも表れているようだ。Microsoftも最近、観測した過去1年間の国家による攻撃のうち、58％はロシアによるものだったとしていた。

　APT28は、パスワードスプレー攻撃や、「Microsoft Exchange Server」の脆弱性（「CVE-2020-0688」「CVE-2020-17144」）を悪用した攻撃を行ったことで知られる、国家の指示を受けて活動しているグループの1つだ。

　Googleは、攻撃者に防御戦略を知られるのを防ぐために、危険を発見してからすぐに警告を送るのではなく、リスクがあるすべてのユーザーにまとめて警告を送信しているという。

　Bash氏は、「TAGは毎日、50カ国以上に及ぶ270を超える標的型攻撃を行うグループや政府の指示を受けている攻撃グループを追跡している。これは、警告の背後には通常、複数の脅威アクターが存在していることを意味している」と述べている。

　TAGが注意深く追跡しているもう1つの国家の指示を受けている攻撃グループは、政府機関や防衛分野の価値が高いターゲットに対してフィッシング攻撃を仕掛けていることで有名なイランの攻撃グループであるAPT35だ。

　この攻撃グループは「Charming Kitten」や「Phosphorus」の名前でも知られており、ペルシャ湾沿岸、欧州、米国の被害者をターゲットにしている。APT35は長年、積極的に米国の防衛産業を狙っており、Googleは、2020年の米国大統領選挙の前に、Joe Biden氏やDonald Trump氏のスタッフを狙った同グループによるフィッシング攻撃を妨害したことを明らかにしている。

　Bash氏は、「APT35は、2021年の初めに英国の大学と関係が深いウェブサイトを侵害し、フィッシングキットを埋め込んだ」と述べている。

　「攻撃者は、『Gmail』『Hotmail』『Yahoo』などのプラットフォームの認証情報を収集するため、このウェブサイトへのリンクを含む電子メールメッセージを送った。ユーザーはログインして（偽の）ウェブナーへの招待をアクティベートするよう指示された。このフィッシングキットはデバイスに送られる2要素認証コードも求める」

　APT35は2017年以降、同じ手法を用いて、政府、学術界、ジャーナリズム、NGO、外交分野、国家安全保障分野のアカウントを狙っている。

　このグループは、2020年5月に「Android」スマートフォンからのデータ収集に使用することが可能な偽のVPNアプリを装ったスパイウェアを「Google Playストア」にアップロードしようとしたことがある。ただしGoogleは、同社はこのアプリをユーザーがインストールする前に削除したと述べている。

　Googleによれば、APT35は、コロナ禍でオンラインビデオ会議が必要不可欠なものになったことに合わせて、フィッシングの手口を変えているという。

　「攻撃者は、ミュンヘン安全保障会議やThink-20（T20）イタリア会議を疑似餌として使い、まず悪質な仕掛けが施されていない電子メールメッセージを送ってユーザーに接触し、反応を引き出そうとしている。ユーザーがこれに応答すると、後続のメッセージでユーザーに対してフィッシングリンクを送信する」とBash氏は述べている。

　Googleは、「Google Workspace」の管理者や一般ユーザーに対して、2要素認証を有効にするか、2要素認証が義務づけられている「高度な保護機能プログラム」に登録することを勧めている。