「本物の認証画面」こそ危険？ ロシア系3攻撃グループがGoogle OAuthやWhatsApp連携を悪用

つまり、画面がGoogleやWhatsAppの本物の機能に見えることは、その要求が安全であることを意味しない。

3つのクラスターが使った手法

UNC6293：政府関係者へのなりすまし、アプリパスワード、OAuth

UNC6293は、米国務省職員などの政府関係者や、その他の信頼できる連絡先になりすましたとされる。標的にアプリ固有のパスワードを作成させ、それを伝えさせる手口が使われた。アプリパスワードは通常の二段階認証プロンプトを経ないアクセスにつながる場合がある。

GTIGはまた、UNC6293がOAuth同意フィッシングを利用し、パスワードを直接盗む代わりに、承認済みのアクセストークンを得ようとしていたと説明している。

GTIGは中程度の確度で、UNC6293を、GoogleがかつてAPT29として知られた攻撃者を指す名称として使っている ICE RELIC の初期アクセス担当サブクラスターと評価している。

UNC7005／STORM-2945：WhatsApp連携と段階的な誘導

UNC7005は、複数の手法を組み合わせた、変化の多い攻撃を展開したとされる。

• WhatsAppの端末連携詐欺：被害者を誘導し、攻撃者が管理する端末をWhatsAppアカウントに連携させる。
• 偽の音声通話や暗号化チャットへの招待：信頼関係を築いてから、悪意のあるリンクやコードを届ける。
• 組織を装った連絡：「Finnish Operations Center（フィンランド・オペレーションズ・センター）」に関係するように見せたメッセージや、偽のMicrosoftサインイン画面を使う。
• OAuthとマルウェアの併用：Google OAuthでトークンやアカウントへのアクセスを狙う一方、VIDARやATOMICなどの情報窃取マルウェアも展開する。

UNC7005とUNC6293は標的や「正規の認証機能を悪用する」という発想に共通点があるが、手法やインフラが異なる。そのため、GTIGは両者を別のクラスターとして追跡している。

UNC5976：防衛関連を狙うOAuthフィッシング

UNC5976は、軍事・航空宇宙・防衛関連の職員や組織に重点を置き、ウクライナやアルメニアに関係する標的も狙ったとされる。攻撃ではOAuthによる承認を誘導し、アカウントやデータへのアクセスを得ようとしていた。

ロシアとの関連をどう評価しているのか

GTIGは、これらの活動全体について、ロシアとの関連性があると高い確度で評価している。ただし、これはアトリビューション（攻撃主体の帰属）に関する評価であり、すべての作戦上の詳細やクラスター間の関係が同じ確度で証明されたという意味ではない。

特にUNC6293については、ICE RELIC／APT29との関連が中程度の確度で評価されている。一方、各クラスターは手法やインフラが完全に一致していないため、引き続き別々に追跡されている。

多要素認証だけでは防ぎきれない理由

多要素認証（MFA）は重要な防御策だが、利用者が攻撃者にだまされて誤った操作を承認すれば、突破されることがある。

予期していないOAuthの同意画面、アプリパスワードの作成要求、WhatsAppの端末連携コードは、パスワードが盗まれていなくてもアカウント乗っ取りにつながる可能性がある。認証画面やコードを「表示されたから安全」と考えるのではなく、認証操作そのものを一つの取引のように扱い、要求元を確認することが重要だ。

推奨される対策

GTIGが示す実践的な対策は、攻撃者が急がせようとする操作をいったん止め、別の手段で確認することだ。

• サインインやOAuth承認の前に、ブラウザーのURL全体を確認する。
• 招待や依頼を別経路で確認する。 会議への招待、音声通話、暗号化チャットへの誘い、政府機関や組織の関係者を名乗るメッセージは、既知の連絡先を使って真偽を確かめる。
• アプリパスワード、ワンタイム認証コード、QRコード、端末連携コードを他人に渡さない。 予期しないサインインやOAuth承認を許可しない。
• 連携済みのメッセージング端末を定期的に確認する。 WhatsAppなどで身に覚えのない端末があれば、すぐに削除する。
• フィッシング耐性のあるMFAを使う。 組織ではセキュリティキーやパスキーを優先し、可能な場合は危険なOAuthアプリやアプリパスワードの利用を制限する。

最も重要な教訓は、見慣れたブランド、本物のログインページ、正規の認証機能だけでは、要求の正当性を証明できないということだ。ログインや承認を求めている人物・組織が本当にその要求を始めたのかを、別の連絡手段で確認する必要がある。