yasuro

Googleのセキュリティ通知と同じ差出人で届き、Gmailの警告も表示されないフィッシングメールの体験談が、Xで大きな注目を集めています。10月1日にフランス語で投稿されたもので、投稿者本人は「IT史上最も巧妙なフィッシング」と表現。投稿は10月4日の時点で460万回以上表示され、日本でも複数反応が見られます。 ただし、差出人、配送に使われたメールサービス、偽ページのドメインの3点が共通する手口は、2025年4月から報告されている既知のもの。2025年の事例では、「DKIMリプレイ攻撃」と呼ばれる手法をGoogleの通知に応用していたことがメール認証（DMARC）サービスを手掛ける企業EasyDMARCの再現調査で確認されており、今回も報告者が公開したメールの情報から同じ型とみられます。 よくある、表示名だけをGoogleに似せた外部からのなりすましメールとは違い、届くのはGoogleが実際に作成して電子署名したメールを攻撃者が再送したもので、画面に出る差出人とGoogleの電子署名は本物。そのため、DMARC（なりすましメールの受信拒否などを受信側に求める仕組み）の検査にも合格し、DMARCだけでは排除できません。 手掛かりになるのはGmailの詳細表示に出る「送信元」で、画面上の差出人とは別に、配送のときにサーバー間でやり取りされる差出人アドレス（SPFの検査対象）のドメインを示します。ただし、メールが転送されると、このアドレスは転送した側のアドレスに書き換わることがあり、それはMicrosoftの企業向けメールサービスの自動転送など正規の転送でも同じ。送信元のドメインで機械的に隔離すると、正規に転送されたGoogleのメールまで止めてしまうおそれがあります。 以下、手口の仕組み、2025年の事例、今回の報告内容、Googleの対応と関連する注意喚起の順に整理します。 【手口の仕組み】 ・DKIMリプレイ攻撃とは、DKIM（送信側がメールに付け、受信側がドメインの公開鍵で確かめる電子署名）が有効な状態で付いたメールを受け取った者が、署名を有効に保ったまま別の宛先へ再送する攻撃。署名の対象は本文と一部のヘッダーで、画面に出る宛先（To）とは別の、配送用の封筒（エンベロープ）に当たる宛先は含まれないため、再送しても署名の検証に合格する。DKIMの仕様書（RFC 6376、2011年）もこの攻撃を取り上げており、2023年にインターネットの標準化団体IETFへ提出された草案（RFCにならないまま2024年1月に失効）は、正当な転送とDKIMリプレイ攻撃の区別は難しく、個々のメールを確実に見分ける方法は無いとしている。 ・署名の対象となった本文やヘッダーを書き換えると検証に失敗するため、攻撃者はそれらを変えずに別の宛先へ再送する。攻撃者が自分で書いた文面を、評判の高いメールサービスのアカウントから自分宛てに送り、そのサービスの署名が付いたメールにして大量に再送する型もあるが、この場合の差出人はそのアカウントのアドレス。企業やサービスの公式の通知用アドレスを差出人に見せたい場合は、その企業やサービス自身に、受信者を焦らせる文面や偽サイトへのリンクを含む通知を送らせる必要がある。2025年2月に報道されたPayPalの事例では、利用者が住所の欄に入力した文字列がそのまま載る自動送信の通知が使われた。 【2025年の事例】 ・2025年4月に報告されたGoogleの事例では、外部アプリの登録時に付けるアプリ名が、通知にそのまま載る文字列として使われた。EasyDMARCが再現して確かめた流れは、（1）攻撃者が自前のドメインと受信箱を用意（2）同じドメインでGoogleのビジネス向けサービスの無料試用に登録し、Googleアカウントを作成（3）外部アプリにGoogleアカウントへのアクセスを許可する仕組み（OAuth）に自作アプリを登録し、アプリ名の欄に詐欺の文面をリンクごと入力（4）そのアプリに自分のアカウントへのアクセスを許可（5）Googleが、詐欺の文面入りのアプリ名を載せたセキュリティ通知を電子署名付きで攻撃者の受信箱へ自動送信（6）攻撃者がその通知を、署名の対象部分を変えずに標的へ再送する、というもの。 ・同じ時期に自身の受信例を公開したENS（イーサリアムのドメイン名サービス）の開発者ニック・ジョンソン氏は、アプリ名に詐欺の文面と大量の空白を入れ、Google本来の通知文が空白の下に続く形になっていたと説明。再送については、メールソフトの転送機能ではなく、メール全体を保存してそのまま送り直したものだとしている。EasyDMARCの再現では受信箱と転送に外部のメールサービス（PrivateEmail）が使われ、同社が解析した1件は、OutlookのアカウントとSMTPの中継サーバーを経由してPrivateEmailから届いていた。攻撃者のドメインは、Googleのメール配信サーバーを思わせる名前。 ・EasyDMARCが解析したメールは、差出人がno-reply[@]accounts[.]google[.]comで、SPF・DKIM・DMARCの各検査に合格していた。ただしSPFの合格は転送したPrivateEmail側のドメインに対するもので、DMARCの合格は、Googleの署名が差出人のドメインと一致していたことによる。ジョンソン氏の受信例では、Gmailで差出人名の下の矢印から開く詳細表示に、署名元（signed-by）がaccounts[.]google[.]com、送信元（mailed-by）がfwd-04-1[.]fwd[.]privateemail[.]com、宛先が攻撃者のme[@]で始まるアドレスと出ていた。me[@]で始めたのは、Gmailが自分宛てのメールに使う「me」という略記に見せかけるためと同氏は説明している。 【今回の報告内容】 ・今回の報告者が公開したメール画面は、件名「Security alert」、見出し「App password created to sign in to your account」の、Googleのアプリ パスワード（安全性の低いアプリや機器にGoogleアカウントへのアクセスを許可する16桁のパスコード）の作成通知で、2025年のOAuthの通知とは別の機能のもの。翌日に公開されたGmailの「メッセージのソース」の画面を見ると、差出人はno-reply[@]accounts[.]google[.]com、宛先は報告者のものではないGmailアドレスのまま、DKIM（署名ドメインはaccounts[.]google[.]com）・SPF・DMARCの各検査に合格しており、この宛先は通常の表示にも出ている。報告者はこれを、見知らぬGmail利用者に自分のGoogleアカウントへのアクセス権が与えられたという警告と受け取り、Gmailによる不審なメールの警告表示も出なかったと説明。 ・本文には、心当たりがなければアカウントが侵害されているおそれがあるとして、sites[.]google[.]com/view/delete-new-app上でパスワードを確認・削除するよう促す文が入り、その下にGoogle本来の「Check activity」ボタンが続く。2026年9月にスイスの連邦サイバーセキュリティ庁（BACS）が公開した、同じ手口で文面を差し込まれた本物の警告メールの画面と並べると、共通する部分がGoogleの定型文で、今回の文面はアプリ パスワードの作成時に付けた名前が入る位置にあることが分かる。報告者が公開した画像では、URLの先は「google[.]com」と表示してロボットでないことの確認（CAPTCHA）を装う画面と、Googleのログイン画面を模した入力画面だった。報告者は、このページが通報から約1日後に削除されたとしている。 ・報告者は、偽ページでもパスワード管理ソフトに自動入力の候補が表示されたとし、その理由を、sites[.]google[.]comに自分のアカウントがあり、使っているソフト（1Password）の保存項目にドメインだけでなくsites[.]google[.]comを含むURL全体を登録していたためと説明（ソフト名は後の投稿で補足）。Googleアカウントがあれば誰でもページを公開できるドメインのため、候補が出ても本物のページとは限らない。 ・報告者が偽物と気付いた手掛かりは2点。1つは、Googleのメールでは手続きに進むためのボタンは大きな青いボタンのはずなのに、偽ページへのURLは、その青いボタンのすぐ上の本文中に書かれていたこと。もう1つは、Gmailの詳細表示で、送信元が本物の通知で見込んでいたbounces[.]google[.]comで終わるドメインではなく、fwd[.]privateemail[.]comだったこと。 【Googleの対応と関連する注意喚起】 ・Googleは2025年4月、この攻撃者による同種の標的型攻撃を把握しているとしたうえで、悪用への対策を展開したと報道機関に説明し、2段階認証とパスキーの利用を勧めた。 ・EasyDMARCは同年8月、自社の解説記事（末尾のURLの記事）のコメント欄に管理者名義で寄せた回答で、OAuthのアプリ名の欄に詐欺の文面を入れて通知に載せる手口にはGoogleが対処したと説明。一方で、アプリ名の欄の件とは別に、同様の悪用に使われうる不備が残っているとし、その回答では具体的な内容を示していない。 ・BACSは2026年9月22日、アプリ パスワードの名前に詐欺の文面を入れてGoogleに正規のセキュリティ警告を送らせる手口を公表。こちらは攻撃者が自分のGoogleアカウントの再設定用のメールアドレスに被害者のアドレスを登録し、Googleから被害者へ直接警告を届けさせる形で、その後に偽のサポート電話と、Googleのウェブサイト作成サービス（Google サイト）上の偽ページが続く流れ。この型ではGoogleから直接届くため、本文の冒頭に、再設定用のメールアドレスへ送った警告の写しだと示す一文が入る。BACSの報告では、攻撃者は偽ページで得たログイン情報で被害者のアカウントにもアプリ パスワードを作り、攻撃後もしばらくメールと連絡先が国外の端末へ同期され続けていた。BACSは、Googleの正式なログイン画面はaccounts[.]google[.]comにしかなく、sites[.]google[.]comには決してないとし、被害が疑われる場合はパスワードの変更、ログイン中のセッションと不審な端末の切断に加え、アプリ パスワードをすべて削除し、再設定用のメールアドレスと自動転送の設定を確認するよう勧めている。 【結論と対策】 いずれにしても、この手口では差出人と電子署名が本物のGoogleのもので、リンク先もGoogleのドメインになるため、差出人の表示や送信ドメイン認証の結果だけでは本物の通知と判別できません。報告者が気付いた送信元の違いは詳細表示を開かなければ見えず、今回は通常の表示に出ていた見知らぬ宛先も、本文がそのアドレスを「パスワードを作成した相手」として示していたため不審に見えにくく、一般の利用者が日常的な確認だけで確実に見分けるのはほぼ不可能な手口です。 利用者に共通する対策は、まずそもそも見分けようとせず、メールのリンクから開いた画面でパスワードを求められても入力を避け、使うサイトに直接アクセスすること。Googleも、ログイン中のアカウントのパスワード入力をGoogleのメールが求めることはないとしたうえで、今回のメールが伝えてきたようなセキュリティ上の出来事も、本来はメールを経由せず、myaccount[.]google[.]com/notificationsの最近のセキュリティ アクティビティで確認できるとしています。Googleは2025年の説明でパスキーの利用も勧めており、パスキーは作成した対象のサイトやアプリとだけ関連付けられるため、不正なサイトにパスキーでログインしてしまうことはないというのがGoogleの説明。また、アカウントのセキュリティについてGoogleから電話をかけることはなく、電話でパスワードや確認コードを求めることもないとし、正規のGoogleのドメインから届いたものでも電話の相手の身元を保証すると称するメッセージは詐欺だとしており、BACSも、正規のサービス事業者がセキュリティの件で突然電話をかけてくることはないとして、電話でパスワードや確認コードを伝えず、通話中に急かされてもサイトに入力しないよう呼びかけています。 組織でメールを検査する側では、DMARCの判定だけではこのメールを排除できません。一方、BACSが指摘するとおりGoogleのログイン画面はaccounts[.]google[.]comにあってsites[.]google[.]comには置かれないため、Googleのセキュリティ通知の体裁でアカウントの確認やパスワードの削除を理由にsites[.]google[.]comへ誘導するメールは、リンク先を条件に高リスクとして隔離し精査する対象。配送用の差出人のドメインがGoogleのものでない通知は再送型の目印になりますが、正規に転送されたメールも同じ特徴を持つため、隔離したメールを確認して戻す手順と組み合わせる形になります。 詳細は以下を参照： xitter.cf/VincentBounce/status/2… easydmarc.com/blog/google-sp… bacs.admin.ch/en/26w38-en (※可能な範囲でファクトチェックは実施済なものの、元記事の精度依存や速報・要約の性質上漏れもありうるため、正確な情報は一次情報を直接参照のこと)

マルウェアの検体を実行せずに、不審な要素を一覧化可能なWindows向けの静的解析ツール「pestudio」。展開するだけで動く単体のデスクトップ型で、実行する側の環境を変更しない。 トリアージの段階で通信先や参照API、埋め込み文字列をまとめて把握でき、実行環境を用意する前に優先度を判断できる、防御側の初動に効く手段。 【要点の整理】 ・抽出対象はファイル署名、ハードコードされたURLとIPアドレス、各種メタデータ、インポートとエクスポート、文字列、マニフェスト、リソース、オーバーレイ。VirusTotalのスコア取得にも対応 ・機能は抽出と表示に絞られ、ZIPの展開だけで動くポータブル型。導入作業は不要 ・無償のbasic版は私的な文脈でのマルウェア解析に限られ、業務・組織での利用は不可 ・professional版は1利用者・1年で159ユーロ。basic版の全機能に加え、pestudiox[.]exeによる一括処理、項目のグループ表示と色分け、XMLレポート出力、MITRE-ATT&CKへの対応付け、[.]NETの名前空間表示と埋め込みファイルの取り出しが加わる 詳細は以下を参照: winitor.com/ (※可能な範囲でファクトチェックは実施済なものの、元記事の精度依存や速報・要約の性質上漏れもありうるため、正確な情報は一次情報を直接参照のこと)