ロシア関与のサイバー攻撃グループ、Google OAuthやWhatsApp連携などの正規認証を悪用してアカウント乗っ取りを展開

要点

• Googleの脅威分析チーム（GTIG）は、ロシア関連とみられる3つのサイバー諜報グループ（UNC6293、UNC7005、UNC5976）が正規の認証機能を悪用して個人アカウントを標的にしていると発表した。

• 標的は欧州および米国の学術界、航空宇宙・防衛産業、政府機関、シンクタンクなどに所属する特定の関係者である。

• 攻撃者はGoogleのOAuth認証やアプリ固有パスワードの詐取、WhatsAppの端末連携機能などを利用し、巧妙なソーシャルエンジニアリングを展開している。

• クラウド基盤を用いた認証トークン収集の自動化や、悪意あるExcelプラグイン「HEADRUSH」による標的型攻撃も確認されている。

• Googleの脅威分析部門であるGoogle Threat Intelligence Group（GTIG）は2026年8月20日、ロシアの関与が疑われる3つのサイバー諜報グループが、正規の認証フローを悪用してアカウントの乗っ取りを行っているとする調査レポートを公開した。対象となっているのは、欧米の学術機関や政府機関、航空宇宙・防衛産業などに所属する特定の関係者だという。

• GTIGの研究者であるGabby Roncone氏とWesley Shields氏は、これらのグループについて「執拗かつ適応性の高いフィッシング攻撃を展開し、高度なソーシャルエンジニアリング（人間の心理的な隙を突いて情報を盗み出す手法）を用いて複数のプラットフォームにまたがる個人アカウントを侵害している」と報告している。

3つの脅威グループによる標的型攻撃の全体像

今回報告されたのは、「UNC6293」「UNC7005」「UNC5976」と名付けられた3つの脅威クラスタである。いずれもロシア側の関心が高い個人を特定し、標的型攻撃を仕掛けている点が共通している。

対象地域は欧州全域および米国に加えてウクライナやアルメニアも含まれており、対象セクターは学術機関、外交・政府関係、航空宇宙および防衛産業基盤、非営利団体（NGO）やシンクタンクなど多岐にわたる。

UNC6293：少人数を絞り込む外交偽装とOAuthフィッシング

UNC6293は、2025年6月にGoogleとCitizen Labによって初めて詳細が明らかにされたグループである。「Ice Relic」（APT29、Cozy Bear、Midnight Blizzardなどの別名でも知られる）の初期侵入を担うサブグループと評価されている。

このグループは過去に、Googleアカウントの「アプリ固有パスワード」（2段階認証に対応していないアプリ向けに発行される専用パスワード）を悪用して被害者のアカウントを乗っ取るキャンペーンを行っていた。その後も活動を継続しており、一度の攻撃で狙う標的を5人未満に限定するなど、小規模かつ綿密なフィッシングを行っている。米国国務省の職員になりすまし、外交に関する話題や今後開催される会議・カンファレンスを偽装の口実に利用しているという。

さらに2026年6月には、新たな手口としてOAuth（外部サービス間で安全に認証情報を連携する仕組み）を悪用したフィッシングが確認された。標的に対して正規の外部プロバイダへログインさせた後、画面に表示される完全なURLや確認コードを共有するよう要求し、標的から提供されたコードを使ってアカウントへ侵入していた。

UNC5976：クラウド悪用によるトークン収集の自動化とExcelプラグイン

UNC5976は、少なくとも2026年3月頃から活動しているグループであり、クラウドインフラを悪用してOAuthトークンの収集を自動化する手法を用いている。

攻撃の手順として、まずファイル共有サービスに関連するドメイン名を12以上取得し、それらに紐付くクラウドプロジェクトを作成した。作成された偽のファイル共有ページに標的がアクセスすると、数秒後にポップアップのログイン画面が表示される。そこに配置された「Googleで続行（Continue with Google）」ボタンをクリックすると、正規のGoogle OAuthログインページに転送される仕組みとなっていた。標的が認証を完了すると、悪意あるスクリプトを設置したGoogle CloudプロジェクトのURLへリダイレクトされ、URLから認証トークンを自動で抽出・保管していたという。Googleによる妨害措置を受け、同グループはその後、他の事業者のインフラへとフィッシングページの設置先を移行させている。

またUNC5976は、2026年4月に確認された「HEADRUSH」と呼ばれる不正なExcelプラグインも悪用していた。これはHTMLアプリケーション（HTA）をダウンロードさせるマルウェアであり、ウクライナの研究機関になりすました偽ドメインを通じて配布されていた。ウクライナの航空宇宙および画像処理関連企業が標的になったとみられ、軍事、防衛産業、NGO、ウクライナやアルメニアを中心とした地理的標的に活動を集中させている。

UNC7005：多角的な認証悪用とプロキシの活用

今回のGTIGの研究で中核的な焦点として挙げられているのが、2026年2月に特定されたUNC7005（別名：Storm-2945）である。ウクライナ、西欧、米国の学術、外交、非営利セクターの要員を主な標的としている。

UNC7005はUNC6293と同様にIce Relicの初期アクセスを担うサブグループと目されており、侵害後の活動には商用のレジデンシャルプロキシ（一般家庭のIPアドレスを経由して通信を中継するサービス）を利用している。ロシア政府の関心が高い個人を厳密に選び出してアプリ固有パスワードを騙し取るほか、デバイスコードフィッシング（機器認証用のコードを入力させて認証を乗っ取る手口）や、WhatsAppの端末連携機能を悪用したアカウント乗っ取りなど、多様な認証悪用手口を組み合わせて活動を展開している。