フィッシャーは正規のクラウドインフラを乗っ取っている

目次 フィッシャーにとってのクラウドの安全な避難場所 多段階AitM攻撃 ステージ1. 連絡先収集とネットワーク監視回避 ステージ2. 透明プロキシの初期化 ステージ3. セッションハイジャックとブラウザウィンドウのスプーフィング クラウドプラットフォームのフィッシング攻撃統計 推奨事項 著者 Olga Altukhova 攻撃者は、検出を回避し、詐欺インフラの展開を合理化するために、正規のクラウドサービスをますます悪用しています。クラウドホスティングサービスと分散型ネットワークは、フィッシングページやサイトをホストするための主要なプラットフォームとなっています。2025年と2026年を通して、フィッシング攻撃者はCloudflare Workers、Vercel、Netlify、GitHub Pages、IPFSなどのプラットフォームに徐々に移行しているのを観測しています。この記事では、クラウド環境における実際の敵対者中間型（AitM）攻撃の仕組みを分析し、フィッシャーが最も頻繁に悪用するプラットフォームとドメインに関する詳細な統計を提示します。 フィッシャーにとってのクラウドの安全な避難場所 攻撃者は、正規のソフトウェア開発者が行うのと同じ理由で、プラットフォーム・アズ・ア・サービス（PaaS）の提供物や分散型クラウド環境をフィッシングサイトのホスティングに選択しています。それは、固有の信頼性と評判です。評判の良いプラットフォームでホストされたフィッシングページは信頼性が高く見えるため、潜在的な被害者の疑いを減らします。ほとんどのプラットフォームは、寛大な無料ティアの開発者プランを提供しています。オンボーディングプロセスは数分で完了し、顧客確認（KYC）の本人確認を要求することはめったにありません。これにより、単一のオペレーターが数百もの悪意のあるアカウントを作成できます。 回避と匿名性。攻撃者はネイティブのセキュリティ機能を利用して、CDNの背後に真のオリジンサーバーIPアドレスを隠蔽し、セキュリティベンダーによる検出を複雑にします。さらに、これらのプラットフォームは、数百万もの正規プロジェクトやウェブサイトをホストする共有サブドメインを割り当てます。セキュリティチームは、正規ユーザーに損害を与えることなく、親ドメインまたはそのサブドメインをブロックすることはできません。これは悪意のあるアクターが悪用する制限です。この戦術に対抗するために、セキュリティベンダーはコンテンツベースの分析手法を進歩させる必要があります。 多段階AitM攻撃 広く採用されているクラウドプラットフォームであるCloudflare Workersを活用する最新のAitMフィッシングキャンペーンを検討してください。攻撃者は、侵害されたウェブサイトとクラウドプラットフォームに分散された複数のHTMLページを通じて操作を実行します。各ページは、ターゲットのメールアドレスを収集したり、リバースプロキシインフラストラクチャを初期化したり、多要素認証（MFA）セッションをキャプチャするためにログインフォームを偽装したりするなど、特定の機能を提供します。 ステージ1. 連絡先収集とネットワーク監視回避 攻撃は通常、同僚からの書類レビュー依頼などのもっともらしい口実を使用したフィッシングメールから始まり、ターゲットを悪意のあるリンクをクリックするように誘い込みます。リンクをクリックすると、ユーザーは侵害された正規のウェブサイトでホストされている偽のCAPTCHAランディングページにリダイレクトされます。この特定のキャンペーンでは、https://t[REDACTED]e.comのウェブサイトが使用されましたが、他のバリエーションも可能です。このシナリオでは、侵害されたページは使い捨てのリレーとして機能しました。ベンダーの検出メカニズムは、通常、メールで直接配信されるフィッシングリンクをより速くブロックするため、Cloudflareでホストされているコアのフィッシングコンテンツの早期発見を防ぎます。ユーザーがメールアドレスを入力して「続行」をクリックすると、疑似CAPTCHAはユーザーを人間としてマークし、リダイレクトを開始しました。このステージの主な目的は、ターゲットのメールアドレスを収集し、ボットを除外し、正規ユーザーをworkers.devのサブドメインにルーティングすることです。このようなサブドメインは、Cloudflare Workersによって自動的かつ無料で生成されます。被害者のメールアドレスはURLハッシュ（#記号の後のURLの部分）に埋め込まれており、これにより[REDACTED].workers.devのページは、攻撃者のサーバーにリクエストを発行することなくメールアドレスを抽出でき、検出を回避できます。 ステージ2. 透明プロキシの初期化 ユーザーのブラウザは次に、URLの末尾に#user@business.comが付いた[REDACTED].workers.devページをロードしました。この時点で、ページは被害者に正規のCAPTCHAチャレンジを提示しました。このステップは、セキュリティサンドボックスではなく、実際のユーザーがページと対話していることを保証しました。別のCAPTCHA、今回は正規のものです。 ユーザーがチャレンジを正常に完了すると、サービスワーカーがブラウザに登録されました。これは、バックグラウンドで実行でき、現在のタブによって生成されたすべてのネットワークリクエストをインターセプトできる特別なJavaScriptファイルです。この種のスクリプトは、プログレッシブウェブアプリ（PWA）のコアコンポーネントとして、ロード時間を最適化し、オフライン機能サポートするために設計されているため、ブラウザはサービスワーカーを標準のサイト機能として扱い、ウェブサイトがHTTPS接続を使用している限り、ユーザーの同意を求めることなく実行します。攻撃者はサービスワーカーを利用して、Ultravioletという正規のオープンソースWebプロキシライブラリを展開し、ページ上のすべてのリンクとフォームを動的に書き換えました。これにより、Microsoftのログイン認証情報を含むすべての送信リクエストが、正規のサービスに直接ルーティングされるのではなく、攻撃者のサーバーを経由するように強制されました。 ロード直後、ページはURLハッシュから被害者のメールアドレスを抽出し、CAPTCHAがロードされたときに上書きされないようにブラウザのsessionStorageプロパティに保存しました。このステップにより、スクリプトはユーザー名フィールドをフォームに自動的に事前入力することもできました。事前入力されたログインフィールドは、ページの信頼性を高め、ユーザーの信頼を強化しました。CAPTCHAが通過すると、悪意のあるスクリプトは、sessionStorageから取得したメールをハッシュに追加して、ステージ3のリダイレクトURLを構築しました。3つの連続するステージでURLハッシュを介してメールを渡すことにより、攻撃者はネットワーク攻撃検出システムからそれを隠し続けることに成功しました。 サービスワーカーを登録してトラフィックをインターセプトする 外部ライブラリを介した透明プロキシの確立 ステージ3. セッションハイジャックとブラウザウィンドウのスプーフィング 最終ステージは、敵対者中間型（AitM）トラフィックインターセプトとブラウザ内ブラウザ（BitB）UIスプーフィング技術を組み合わせた3番目のページで展開されました。BitB攻撃は、正規のウェブページ内に、ネイティブブラウザのポップアップウィンドウに視覚的に似せたブロックをレンダリングすることによって機能します。この場合、攻撃者のページでホストされているスクリプトは、ウィンドウコントロールと信頼できるMicrosoft URLを示す偽のアドレスバーを備えた、ネイティブブラウザウィンドウと視覚的に同一のポップアップを生成しました。このシミュレートされたウィンドウ内で、iframeはステージ2で作成されたサービスワーカーリバースプロキシを介して動的にルーティングされた、正規のログインインターフェースをロードしました。被害者がBitBウィンドウに認証情報とMFAコードを入力すると、プロキシスクリプトは認証情報とセッショントークンの両方をインターセプトしました。BitBとAitMを組み合わせることで、脅威が大幅に増加します。BitBは説得力のある信頼できる視覚的なラッパー（正規のURLとブランディングを表示する）を提供し、隠されたAitMプロキシはバックグラウンドでトラフィックインターセプトとセッションハイジャックを静かに処理します。 ログインに成功すると、プロキシはインターフェースにポップアップを閉じるように指示し、被害者を「セッション切れ」などの一般的なシステムエラーページにリダイレクトします。これにより、被害者は技術的なグリッチが発生したと想定し、攻撃者がすでにセッションに完全にアクセスしていることを知らずに、再度ログインしようとします。 クラウドプラットフォームのフィッシング攻撃統計 2025年8月から2026年7月までの12か月間にわたり、Cloudflare、Netlify、GitHub Pagesを含む一般的なクラウドプラットフォームでホストされたフィッシングURLを分析しました。以下のデータは、フィッシングコンテンツを配信するために悪用されたユニークなサードレベルドメインのトレンドを示しています。この期間中、当社のセキュリティソリューションは、フィッシング攻撃で使用されたクラウドおよび分散型サービス上の224,984のユニークなサードレベルドメインをブロックしました。 フィッシングコンテンツを配信するために悪用されたユニークなサードレベルドメインの数（ダウンロード） このテレメトリに基づいて、Tのリストをコンパイルしました。