台湾の研究機関を狙う標的型攻撃「UAT-11985」が判明、生成AIによる偽招待状とAitM手法でGoogle認証情報を詐取
要点
- Cisco Talosが、台湾の研究機関関係者を標的にGoogleアカウント情報を狙うサイバー攻撃活動「UAT-11985」を公表した。
- 攻撃者は台湾の実在する学術・政策機関を装い、生成AIで大量作成されたとみられる偽のイベント招待メールを送信していた。
- メールのリンク偽装に加え、正規ポスターのQRコードを差し替えて読み取らせる「クイッシング」も併用されていた。
- 偽サイトは中間者攻撃（AitM）プロキシとして動作し、被害者のGoogle認証情報や多要素認証（MFA）コードをリアルタイムで詐取していた。
リード文
米シスコの脅威インテリジェンス部門Cisco Talosは2026年10月16日、台湾の研究機関関係者を標的としたスピアフィッシング攻撃を確認したと発表した。「UAT-11985」と呼ばれるこの活動は2026年半ばから観測されている。攻撃者は正規の学術・政策機関を装った偽のイベント招待状を送り、Googleアカウントのログイン情報や多要素認証（MFA：パスワード以外の要素を組み合わせて認証する仕組み）コードを盗み出していたという。
実在の学術・政策機関を装う標的型メール
UAT-11985は、台湾の研究機関に所属する個人を標的とした持続的標的型攻撃（APT：特定の組織を狙って持続的に行われるサイバー攻撃）キャンペーンとして分類されている。
攻撃者は招待の信頼性を高めるため、公的なイベントのテーマを悪用し、台湾で著名な実在組織になりすましていた。具体的には「台湾欧州連合センター（Taiwan European Union Centre）」「国立政治大学国際関係研究センター（NCCU Institute of International Relations）」「台湾総合研究院（Taiwan Research Institute）」といった機関名が送信元として偽装されていた。
メール内に記載されたハイパーリンクは、カーソルを合わせると正規のGoogleフォームのURLに見えるよう偽装されていたが、実際には攻撃者が管理するインフラへ接続される仕組みだった。
生成AIを用いた招待状テンプレートの大量作成
Cisco Talosの研究者Joey Chen氏の分析によると、この活動では生成AIによるコンテンツ生成が悪用されている可能性が高いという。共通の攻撃枠組みを用いながら、ターゲットごとに特化した文面が迅速に作成されていた。
送信された招待メールは、取り扱われている地政学的な話題が多岐にわたるにもかかわらず、文章の構文構造がほぼ同一だった。この特徴から、個別に執筆されたのではなく、再利用可能なプロンプトテンプレートを用いて生成AIで大量生産されたものと推測されている。
メール本文は以下の3部構成で統一されていた。
- 地政学や政策的背景に関する、洗練されつつも過度に凝った説明
- 受信者の関心を引くために、相手を褒め称える個別の記述
- イベントのテーマや日時、会場、参加登録手順などの詳細案内
Talosは、類似した文章構造や修辞スタイル、個人的な賛辞、機関の偽装が共通している点から、組織的かつ綿密に計画された標的型攻撃であると結論づけている。
ポスターのQRコードを改ざんする「クイッシング」
今回の攻撃では、通常のフィッシングメールにとどまらず、QRコードを悪用したフィッシング手法「クイッシング（Quishing）」も併用されていた。
攻撃者は、正規のWebサイトから収集した実際のイベントポスター画像を入手し、そこに掲載されていた登録用QRコードを悪意あるものへと置き換えていた。この改ざんポスターをメール等で展開することで、メールの直接の受信者だけでなく、印刷された掲示物に接する可能性のある二次的な被害者に対しても攻撃の対象を広げていたという。
AitMプロキシによるリアルタイムの認証情報窃取
被害者がリンクをクリックしたりQRコードを読み取ったりすると、正規のGoogleフォームを模倣したフィッシングサイトへ誘導される。
この偽サイトは、フォーム入力を完了させる名目でGoogleアカウントへのサインインを促すポップアップを表示する。誘導先には精巧に作られた偽のGoogleログイン画面が用意されており、アカウントの認証情報や認証コードの入力を要求する。
サイトの実体は、通信の間に割り込んで情報を傍受する「Adversary-in-the-Middle（AitM）」プロキシである。難読化されたJavaScriptを用い、入力された情報をWebSocket接続を通じてリアルタイムに攻撃者サーバーへ送信すると同時に、正規のGoogle認証サーバーへも転送する仕組みとなっていた。
端末情報の事前収集とログイン通信の仕様
Talosの解析により、AitMフレームワークの具体的な通信シーケンスも判明している。
まずWebSocket接続を確立する前に、JavaScriptが被害者の端末情報を収集する。ロケール、ブラウザのユーザーエージェント、画面サイズ、モバイル端末かどうかといった情報が取得され、google_login_start というリクエストでC2（指令サーバー）へ報告される。
続いて被害者がパスワードを入力すると、アカウント識別子やユーザーエージェントとともに google_login_check リクエストを通じてHTTP経由でC2サーバーへ送信される。AitMの位置にある攻撃者サーバーは、これらを実際のGoogle認証サービスへと転送してログインを試みる。
なお、偽のログイン画面が対応していた言語は、簡体字中国語（zh-CN）、繁体字中国語（zh-TW）、英語の3種類のロケールのみであったことが確認されている。