Microsoft 365アカウントを狙うフィッシングサービス「Forg365」の台頭

要点

• 新たなフィッシングサービス「Forg365」が稼働し、Microsoft 365の法人アカウントを主な標的にしていることが明らかになった。

• このサービスはTelegramを通じて提供されており、月額400ドルまたは年額3800ドルのサブスクリプションモデルで販売されている。

• 正規のメール配信インフラの悪用やVPN接続の検知による回避策を組み合わせ、セキュリティ対策を巧妙にすり抜ける特徴を持つ。

• ログインセッションを維持するための専用ブラウザ拡張機能「ForgCookie」や、AIを用いた返信メールの自動下書き作成機能も備えている。

• 技術的な専門知識が乏しい攻撃者であっても、コントロールパネルを通じて容易に大規模なフィッシングキャンペーンを実行できる環境が整っている。

• Microsoft 365アカウントを標的とした、新たなフィッシング・アズ・ア・サービス（PhaaS：フィッシング攻撃に必要なインフラやツールをサブスクリプション形式で提供するビジネスモデル）である「Forg365」の活動が確認されました。電子メールセキュリティ企業であるZeroBACが2026年7月13日付で公表した調査結果により明らかになりました。

• Forg365は、Telegramを通じて取引されており、月額400ドルまたは年額3800ドルの定額制で提供されています。デバイスコードを用いたフィッシング、中間者攻撃（AitM：通信を行う二者の間に攻撃者が割り込んでデータを盗み取る手法）、セキュリティ検知の回避策、さらには人工知能（AI）によるフィッシングメールの作成支援など、極めて多様な機能を統合している点が特徴です。専門的な技術を持たない犯罪グループでも、容易に組織的なフィッシングキャンペーンを展開できる環境が構築されていると説明されています。

Telegramで流通する定額制攻撃キット

セキュリティレポートによると、Forg365は「Kali365」や「Sneaky 2FA」といった既存の高度なフィッシングエコシステムと類似した構造を持っています。Telegramを通じて取引を済ませた攻撃者は、一般的なWebブラウザからアクセス可能な管理画面「logfriend[.]com/login」を利用できるようになります。

この管理画面では、攻撃対象の管理、リンクや招待状の作成、OAuth（オーオース：ユーザーがパスワードを開示せずに特定のシステムへ権限を渡すための認証規格）アプリの設定、SVG画像の生成、送信キャンペーンの設定、SMTP（エスエムティーピー：電子メールを送信するための標準的な通信プロトコル）のプロファイル管理、および取得したトークンの保管など、フィッシング攻撃に必要なほぼすべての手順を一元的に実行できます。

正規のインフラを悪用した巧妙なメール配信

攻撃者は、ビジネス文書の共有や送金の承認といった業務上の連絡を装ったメールを送信し、標的となるユーザーを偽のリンクへと誘導します。この配信プロセスにおいて、Amazon SES（Amazon Simple Email Service）やTwilio SendGridなどの広く信頼されている正規のクラウドメール配信サービスが悪用されています。これにより、偽の転送チェーンが一般的な通常のメール通信に紛れ込み、セキュリティシステムをすり抜けやすくなるといいます。

また、Forg365にはセキュリティ検知を回避するためのトラフィック分類機能が組み込まれています。アクセス元の接続状況をスキャンし、もしVPN（仮想プライベートネットワーク：通信データを暗号化してプライバシーを保護する技術）を介した接続が検出された場合には、フィッシングページを隠蔽し、無害なダミーのコンテンツへと自動でリダイレクト（別のページへ強制的に転送すること）します。これにより、セキュリティ企業の調査用ボットや検知ツールによる追跡をかわす仕組みになっています。

デバイス認証を悪用したセッション情報の窃取

認証情報の窃取において、Forg365はデバイス認証（デバイスコード）を用いたアプローチを採用しています。これは本来、入力機能が制限されたスマートTVなどの端末で、画面に表示されたコードを別の端末から入力してログインするための仕組みです。

被害者がフィッシングリンクをクリックすると、Microsoftを模した検証コード入力画面が表示されます。そこで提示されたコードを入力すると、被害者は「Microsoft Authentication Broker」を介した正規のサインインフローへと誘導されます。被害者の画面には本物のMicrosoftのログイン画面が表示されるため、通常の認証を行っているように見えますが、実際には攻撃者が制御するセッションの権限が認証されることになります。

侵害後のアクセスを維持するブラウザ拡張機能とAIの活用

アカウントの乗っ取りに成功した後、攻撃者が継続的にアカウントへアクセスし続けるための機能も備わっています。Chromium（クロミウム：Google Chromeなどの基礎となっているオープンソースのWebブラウザプロジェクト）ベースのブラウザに対応した「ForgCookie」と呼ばれる拡張機能が提供されています。この拡張機能は、Microsoftサービス向けの「SSO（シングルサインオン：一度の認証で複数のサービスにログインできる仕組み）用クッキーの自動更新機能」として動作します。具体的なプロセスは以下の通りです。

1. Forg365のバックエンドからアカウントデータを取得する。
2. 選択したアカウントのクッキー生成用エンドポイントを呼び出す。
3. 既存のMicrosoftのセッションクッキー（ログイン状態を保持するデータ）をクリアする。
4. 生成されたリフレッシュトークン（ログイン状態を維持するための鍵データ）用の資格情報クッキーをMicrosoftのログインドメインに挿入する。
5. サイレントOAuthフローをバックグラウンドで開始する。
6. Microsoftドメイン全体から、結果として生成されたクッキーを取得する。

さらに、アカウントを侵害した後の運用を自動化する機能も実装されています。乗っ取った電子メールアカウントを監視し、あらかじめ設定したキーワードが含まれるメッセージを検出する機能や、AIの支援を受けて、特定のメールスレッドに自然に割り込むような返信メッセージの下書きを自動作成する機能が含まれています。

ZeroBACは、こうしたPhaaSの台頭について、技術的スキルの低い攻撃者がテンプレートを利用して攻撃を行える一方で、より高度な攻撃者はランディングページのカスタマイズやインフラの切り替え、クッキーの生成などを駆使して持続的な活動を行うことができるため、攻撃の敷居が下がる一方で一貫した成果を得やすくなっていると警告しています。