フィッシングキット「N0va」が欧米企業を標的に攻撃展開、正規の認証フロー悪用でSSOトークン奪取

要点

• 北米および欧州の政府、テクノロジー、ヘルスケアなど多様な業界を標的とするフィッシングキット「N0va」の活動が確認された。

• Microsoft TeamsやGoogle Driveなどの主要な業務サービスを精巧に偽装し、被害者を正規の認証フローへ誘導する。

• 従来のマルウェアを用いず、認証完了後にアクセスおよびリフレッシュトークンを奪取してSSO連携を悪用する手口が特徴となっている。

• セキュリティ分析サービス「ANY.RUN」の調査により、攻撃に関与する特徴的なURLパターンが特定された。

• 北米および欧州の幅広い組織を標的として、新たなフィッシングキット「N0va（ノヴァ）」を用いたサイバー攻撃が展開されていることが明らかになった。サイバーセキュリティメディア「The Hacker News」が2026年9月16日に報じた。この攻撃は、広く普及しているクラウドサービスを偽装し、正規の認証フローを悪用することで、マルウェアを使わずにアカウントへのアクセス権を奪取する手法を取っているという。

多様な重要セクターを狙う攻撃活動

報告によると、N0vaによる攻撃活動は、政府機関、テクノロジー、コンサルティング、ヘルスケアなど、北米および欧州の多岐にわたる業界の組織で観測されている。

このキャンペーンの特徴は、一般的なサイバー攻撃で見られるような目立つマルウェア感染の痕跡を残さない点にある。攻撃者は正規のアカウントへ不正に潜入するため、セキュリティシステムによる検知をすり抜けやすく、侵害された状態が長期間にわたって見過ごされる危険性が指摘されている。単一のアカウントが侵害されるだけでも、機密データや業務システム、関連するクラウド環境全体への侵入口になり得るという。

業務プラットフォームの偽装と認証フローの誘導

N0vaは、企業で日常的に広く使われているビジネスツールの認証画面や通知を精巧に模倣して標的に接触する。偽装の対象として確認されているのは、Microsoft Teams、SharePoint、OneDrive、DocuSign、Google Drive、Dropbox、Zoom、Adobe Signなど多岐にわたる。

従来のフィッシング攻撃では、攻撃者が作成した単純な偽ログインページに認証情報を入力させることが多かった。これに対しN0vaは、被害者を正規の認証フローへと誘導する仕組みを備えている。そのため、ユーザー側が不審な挙動に気づきにくく、正規の手続きと信じ込ませたまま認証を進行させる点が巧妙だとされている。

トークン奪取によるシングルサインオン（SSO）の悪用

ユーザーが認証手続きを完了させると、N0vaはシステムから発行される「アクセストークン（サービス利用権限を証明するデータ）」や「リフレッシュトークン（トークンを再発行するための認証情報）」を不正に奪取する。

さらに攻撃者は、トークン交換やデバイス登録といった正規のメカニズムを悪用して、シングルサインオン（SSO：1回の認証で複数のクラウドサービスにログインできる仕組み）によるアクセス権限を確立する。これにより攻撃者は、侵害されたアカウントに紐づく電子メールの閲覧、社内共有ファイルの取得、各種クラウドアプリケーションの操作など、企業内の主要リソースへのアクセスを可能にするという。

アカウント侵害が引き起こす企業リスク

アカウントが攻撃者の手に渡った場合、企業活動全体に広範な被害が及ぶ可能性があると指摘されている。具体的な影響として、以下のリスクが挙げられている。

• 財務的損失: 侵害されたアカウントが悪用され、不正な支払い指示や請求書データの改ざんなど、金銭搾取を目的とした詐欺が行われる恐れがある。
• 機密データの流出: 顧客の個人情報、従業員データ、知的財産、社内での機密性の高い通信内容などが外部に漏洩する危険に晒される。
• 業務の停滞: 事態の収拾と封じ込めのために、セッションの強制無効化やアクセス権のリセット、影響を受けたシステムの調査、一部サービスの制限などが余儀なくされ、日常業務の中断が発生する。
• 法的・規制上の問題: 規制対象となる個人情報や機密データが流出した場合、監督機関への報告義務や契約上のトラブル、罰則金の発生などに発展する可能性がある。
• 社会的信用の低下: 信頼されている公式アカウントからの情報流出や悪用により、顧客からの信頼喪失やパートナー企業との関係悪化につながる懸念がある。

脅威インテリジェンスによる特定と追跡

セキュリティ分析基盤を提供するANY.RUNの脅威インテリジェンス調査（Threat Intelligence Lookup）によって、N0vaの活動に関連する特徴的なURLパターンが特定された。

特定されたリクエスト構造は /api/verification/init?session=*&flow=*prompt_profile= というURL形式を含んでいる。この特有のパラメータ構造を手がかりに検索を行うことで、単一の攻撃指標にとどまらず、同じ仕組みを共有する関連URLや背後にある攻撃インフラの全体像を把握し、調査を進めることが可能になっているという。