GoogleカレンダーやGoogle図形描画がサイバー犯罪者に悪用されている

チェック・ポイント・ソフトウェア・テクノロジーズ（以下チェック・ポイント）は、GoogleカレンダーやGoogle図形描画といった、Googleが提供しているサービスがサイバー犯罪者に悪用されていることを確認した。

Googleカレンダーは、個人や企業が効率的に日々のスケジュールを管理できるよう設計されたスケジュール管理アプリ。Calendly.comによると、Googleカレンダーは5億人以上のユーザーに利用されており、41の言語に対応している。Googleカレンダーはその利便性の高さから世界中で広く利用されており、サイバー犯罪者にとって格好の標的となっている。

攻撃に使用される不正なメールの多くは、Googleカレンダーから直接送信されているように見えるため、正規のメールと見分けがつきにくいという特徴がある。サイバー犯罪者は「送信者（sender）」のヘッダーを改ざんすることで、正規のユーザーになりすまし、あたかもGoogleカレンダーから送信されたかのように見せかける。これまでに約300の企業・団体が被害に遭っており、セキュリティリサーチャーの調査によると、2週間で2,300通のフィッシングメールが確認されている。

Google カレンダーとGoogle 図形描画を悪用した脅威の概要

この一連のフィッシング攻撃において初めのうち、攻撃者たちはGoogleカレンダーの機能を悪用し、Googleフォームへ誘導するリンクを埋め込んでいた。しかし、セキュリティ製品が不正なカレンダーの招待を検知できるようになったため、サイバー犯罪者たちは手口を変え、Google 図形描画の機能を悪用する手法へと移行した。

サイバー犯罪者の動機

この攻撃の本質は、ユーザーを騙して悪意のあるリンクや添付ファイルをクリックさせ、企業や個人の情報を窃取することにある。入手した機密情報は、クレジットカードの不正利用や不正送金などの金融詐欺に悪用される。また、盗んだ情報は他のアカウントのセキュリティ対策を回避する手段としても使われ、さらなる被害につながる可能性がある。このような詐欺は、組織・個人の双方に甚大な被害をもたらし、その影響は長期にわたって続く。

攻撃の実行手口

最初のメールには、GoogleフォームやGoogle図形描画へのリンク、もしくはそれらのリンクを含むカレンダーファイル（.ics）が含まれている。その後、ユーザーは別のリンクをクリックするように求められるが、このリンクは多くの場合、reCAPTCHAやサポートボタンに偽装されている。リンクをクリックすると、暗号通貨（仮想通貨）のマイニングのランディングページやビットコインのサポートページに見せかけたページに転送される。

これらのページの実際の目的は金銭的な詐欺を行うことである。ユーザーがそのページにアクセスすると、偽の認証プロセスを完了し、個人情報を入力するように要求され、最終的には支払い情報の提供を求められる。

次の画像のフィッシング攻撃は、Googleカレンダーの招待メールから始まる。メールの中には実際のカレンダー通知とよく似たものもあるが、独自のフォーマットで作られたものもある。

招待された相手が知り合いだった場合、画面の他の部分は通常のカレンダー通知とよく似ているため、ユーザーは本物だと思い込んでしまう可能性がある。

この攻撃をブロックするには

このようなフィッシング詐欺などのサイバー攻撃からユーザーを保護したい組織は、以下の実践的な対策を検討していただきたい。

• 高度な電子メールセキュリティソリューション：Harmony Email & Collaborationのようなソリューションは、GoogleカレンダーやGoogle図形描画といった信頼できるプラットフォームが悪用された場合でも、高度なフィッシング攻撃を効果的に検出してブロックすることができる。高品質なメールセキュリティソリューションには、添付ファイルのスキャン、URLのレピュテーションチェック、AIによる異常検知などの機能が含まれている。
• サードパーティーのGoogle Appsの利用を監視：サードパーティー製アプリの不審なアクティビティを特定し、警告してくれるサイバーセキュリティツールを活用する。
• 強力な認証メカニズムの導入：セキュリティ管理者が取るべき最も重要な対策のひとつは、ビジネスアカウントに多要素認証（MFA）を導入すること。さらに、暗号通貨関連サイトへのアクセスを含む、通常とは異なるログイン試行や不審なアクティビティを検出することができる行動分析ツールを実装することも有効である。

このような詐欺メールが個人の受信トレイに届くことを懸念している方々は、以下の実践的な対策を検討していただきたい。

• 不審なイベント招待に注意：招待メールに予期せぬ情報が含まれてる場合や、CAPTCHA入力など通常とは異なる手順を要求された場合は、応答を避ける。
• 受信したコンテンツを慎重に確認する：クリックする前によく考え、リンクにカーソルを合わせてURLを確認し、そのURLをGoogleで検索してからアクセスする方が安全である。
• 二要素認証を有効にする：Googleアカウントやその他の機密情報の保管場所では、二要素認証（2FA）を有効にする。パスワードが漏えいした場合でも、二要素認証が有効であれば第三者による不正アクセスを防ぐことができる。

Googleは、「Googleカレンダーの設定メニューから、『知っているユーザーから届いた場合のみ』の設定を有効にすることをお勧めします。この設定により、連絡先リストに登録されていない人や、過去にメールのやり取りをしたことがない相手から招待を受けた場合に警告が表示され、この種のフィッシング攻撃から身を守ることができます」とコメントしている。

メールセキュリティソリューションをアップグレードすることをお勧めします。まずは専門家に相談すべきであろう。こちらからHarmony Email & Collaborationのデモを体験も可能である。

出典：PRTimes　チェック・ポイント、GoogleカレンダーやGoogle図形描画がサイバー犯罪者に悪用されていることを確認