こんにちは、Nexistixです。今回は、セキュリティ研究者が偽の暗号資産イベントを口実に狙われたという報道を取り上げます。ただ、扱う範囲はかなり絞ります。誰が仕掛けたのか、背後にどの組織がいるのかといった話は追いません。代わりに見るのは、もっと手前にある日常の動作です。つまり「Googleドキュメントの共有通知が届いたとき、自分は何を見てから開いているのか」という部分です。
この記事の結論
TechCrunchによると、実在する暗号資産イベントを模倣した偽の招待状がGoogleドキュメントで共有され、セキュリティ研究者が狙われたと報じられています。通知はGoogleの正規ドメインから届くため、差出人や経路では判断できません。危険が生じるのは文書内リンクの遷移先で、判断のタイミングが後ろにずれる点が厄介です。個人側でも運用と認証方式の見直しで対処の余地があります。
正直に言うと、私自身、記事の下書きや台本のやり取りでドキュメント共有は毎日のように踏んでいます。だからこそ、今回の件は他人事として読めませんでした。警戒が仕事の一部になっている研究者が対象だった、というのが引っかかるところです。
\n報じられている手口の概要
\nTechCrunchの調査によると、攻撃者は実在する暗号資産関連のイベントを模倣し、Googleドキュメントで作った偽の招待状を標的へ共有していたと報じられています。文書そのものは、登壇や参加を打診する普通の案内に見える作りです。
\n危険なのは、その文書の中に置かれたリンクです。クリックすると、情報や資産を狙うフィッシングサイト、つまり本物そっくりのログイン画面を出して入力内容を盗むページへ誘導される流れだったとされています。なお、被害の規模や実行者に関する細部は原文の範囲を超えるため、この記事では扱いません。
\n
\n「Googleからの通知だから安全」が効かない理由
\n迷惑メールのフィルタは、届いた郵便物そのものを検査する仕組みに近いです。差出人のドメインが本物か、本文中のURLが既知の悪性リストに載っていないか、添付ファイルが怪しくないか。判定材料はだいたいこのあたりです。
\n今回の形は、その検査対象に危険物が入っていません。通知メールを送るのはGoogleの正規サーバーで、送信元が偽装されていないか確かめる仕組み（SPFやDKIMと呼ばれる認証）も当然のように通ります。危ないリンクはメールの外、共有された文書の中に置かれています。荷物は空っぽで、中身は別の建物に預けてある、というイメージが近いです。
\n| 手がかり | よくある迷惑メール | 正規サービスの共有通知 | 今回報じられた形 |
|---|---|---|---|
| 差出人ドメイン | 見慣れない独自ドメイン | Googleの正規ドメイン | Googleの正規ドメイン |
| メール本文のリンク先 | 攻撃者のサイト | Googleドライブ内の文書 | Googleドライブ内の文書 |
| 添付ファイル | あることが多い | なし | なし |
| 危険が生じる場所 | メールを開いた時点 | — | 文書内リンクを踏んだ先 |
残る手がかりは一つだけです。遷移した先のアドレスバーに何が表示されているか。文書に到達するまでの経路は、ほぼ全部が本物なので判断材料になりません。判断のタイミングが、開く前から開いた後ろへ後ろへとずれていく。ここが個人的にいちばん厄介だと感じた点です。
\nイベント招待状という餌が刺さる構造
\n暗号資産のイベントという設定は、狙う相手に合わせて選ばれたものです。研究者にとって、登壇依頼や取材依頼が突然届くのは珍しいことではありません。開かない理由のほうが少ない文脈になっています。
\nそして、この構造はテーマを差し替えられます。ブログやYouTubeを運営していれば、PR案件の打診、アフィリエイト提携の相談、スポンサー企画の概要という名目で、同じ形の共有が届いても違和感はありません。個人発信をしている人ほど「知らない相手からの文書を開くこと」が仕事になっている、という点は自覚しておいたほうがよさそうです。
\n
\n個人が今日から変えられるところ
\n手口の巧妙さを追いかけても切りがないので、こちら側の手順を固定してしまうほうが現実的です。私が自分の運用で見直したのは次の三つです。
\n1. ログイン画面はリンクから開かない。 文書を読んだ先で「もう一度サインインしてください」と出たら、そこで一旦止めます。ブラウザのブックマークやアプリから入り直し、それでもログインを求められるなら本物、求められないなら偽物だった、という切り分けができます。手数は増えますが、判断を勘に頼らずに済みます。
\n2. 心当たりのない共有は、通知メールを経由せず確認する。 Googleドライブの「共有アイテム」の一覧からファイル名と共有元を眺めるだけなら、リンクを踏む必要がありません。誰と何を作業中だったかを思い出せない共有は、そのまま放置しても困りません。
\n3. 二段階認証をフィッシングに強い方式へ寄せる。 SMSやアプリの数字コードは、偽サイトに入力させられた時点で突破されます。一方、パスキーや物理的なセキュリティキー（USBやNFCで挿す小さな認証デバイス）は、アクセス先のドメインが違えば認証そのものが成立しません。人間が偽サイトを見抜けなくても止まる、という点が違います。
\nセキュリティキーを検討するなら、選ぶときに見るのは端子の形（USB-CかUSB-Aか）、スマホで使うためのNFC対応の有無、そして自分が守りたいサービスが対応しているかの三点です。紛失時に締め出されるのを避けるため、2本持って片方を保管しておく運用がよく勧められています。ここは製品差より、自分の端末構成に合うかどうかが先です。
\n暗号資産まわりで特に注意したい点
ウォレットの復元フレーズ（シードフレーズ）は、正規のサービスが入力を求めることはありません。求められた時点で偽物と考えて問題ありません。また、ウォレット接続時に表示される署名リクエストは、内容を読まずに承認すると資産の移動権限を渡してしまう場合があります。
\n複数人やチームで使っている場合の追加確認
\n個人アカウントとGoogle Workspaceでは、打てる手が変わります。Workspaceの管理コンソールには、組織外からの共有をどこまで許可するか、共有通知をどう扱うかといった設定があります。ただし項目名や適用範囲は契約プランと管理方針で変わるため、実際に何ができるかはGoogleの公式ヘルプと自社の管理者に当たるのが確実です。
\nチーム運用なら、設定より先に決めておきたいのは連絡の入口です。案件の打診は必ずこのメールアドレス、あるいはこのフォームから、と決めておけば、それ以外から届いた共有は経路の時点で疑えます。技術で見抜けない部分を、運用ルールで埋める形です。
\n次に確認すること
\nこの記事は公開情報からの整理なので、時系列や関係者の詳細まで知りたい場合は元記事を読むのが早いです。TechCrunchの元記事を開いて、自分の使い方と重なる部分がどこかを確認してみてください。そのうえで、まず一つだけやるなら、メインで使っているGoogleアカウントの二段階認証の方式を見に行くところからだと思います。
\nよくある疑問
\nQ. Googleドキュメントを開いただけで被害に遭いますか？
A. 今回報じられている流れでは、危険が生じるのは文書内のリンクを踏んだ先です。ただし開いた時点で相手には閲覧の事実が伝わり、「反応がある相手」として次の接触につながる材料にはなります。心当たりがなければ、開かずに放置するほうが得です。
Q. 暗号資産を持っていなければ関係のない話ですか？
A. 餌の中身は入れ替えが利くので、直接は関係なくても構造は共通です。発信活動をしている人には、案件相談や取材依頼という顔で同じ形が届き得ます。
Q. パスキーにすれば他の対策はやめてよいですか？
A. パスキーが効くのはログイン情報を盗まれる経路に対してです。ファイルのダウンロードを促す手口や、ウォレットの署名を承認させる手口は別枠なので、リンク先を確認する習慣は残しておく必要があります。
他の記事もトップページからまとめて読めます。設定まわりの話が役に立ちそうなら、ブックマークしておいてもらえると更新に気づきやすいはずです。
あわせて読みたい関連記事
おすすめ Adformハッキング騒動：Web閲覧で仮想通貨が盗まれるリスクと現実的な防衛策
偽の暗号資産イベントを装ったフィッシングという今回の手口と同様に、日常のWeb閲覧の裏で仮想通貨が狙われる仕組みと防衛策を扱っており、判断の拠り所を見直す視点が共通しています
買う前にあわせて確認したい記事
スペックや価格だけで決める前に、必要な環境や選び方も確認しておくと失敗しにくくなります。
コメント