正規DocuSign通知を悪用してM365セッションを窃取、月額320ドルのフィッシング基盤「NovaCookies」が判明

要点

• セキュリティ企業のIslandが、Microsoft 365の認証セッションをリアルタイムで奪取する新フィッシング基盤「NovaCookies」の調査報告を公開した。

• 月額320ドルで提供される完全管理型PhaaS（サービス型フィッシング）であり、Telegram上で販売やインフラ管理が行われている。

• 正規のDocuSign通知メールやMicrosoft・Googleの正規エンドポイントをリダイレクトに悪用し、セキュリティ製品の検知を回避する。

• 中間者攻撃（AitM）によりパスワードや多要素認証（MFA）を中継・窃取し、OktaやEntraなど複数IdPに対応している。

• 米国、イギリス、カナダ、ドイツ、イスラエル、UAEなど複数国の数百組織がすでに標的となっている。

• サイバーセキュリティ企業のIslandは2026年8月26日、Microsoft 365の認証セッションをリアルタイムで窃取する新たなフィッシングツールキット「NovaCookies」の調査報告を公開した。NovaCookiesは中間者攻撃（AitM：Adversary-in-the-Middle）の手法を採用し、月額320ドルのサブスクリプション形式で提供されているフィッシング基盤（PhaaS）だ。米国、イギリス、カナダ、ドイツ、イスラエル、アラブ首長国連邦（UAE）などの複数業界において、すでに数百もの組織が標的になっていることが判明している。

Telegramで販売される完全管理型のPhaaS基盤

Islandの報告によると、NovaCookiesは「サービスとしてのフィッシング（PhaaS：Phishing-as-a-Service）」として商用展開されている。利用者は月額320ドルを支払うことでプラットフォームを利用でき、メッセージングアプリのTelegram上で広告が出されている。Telegramは単なる宣伝にとどまらず、顧客プロファイルの管理やリダイレクトサービスの設定、サポート窓口といった運用インフラとしても機能しているという。

セキュリティ企業のProofpointは、NovaCookiesを既存のフィッシングキット「Sneaky 2FA」の亜種であると評価している。従来のSneaky 2FAが主にMicrosoftアカウントを標的としていたのに対し、NovaCookiesは認証サービス「Okta」や、GoDaddyに連携（フェデレーション）された「Microsoft Entra」ドメインなど、他のアイデンティティプロバイダー（IdP：認証サービスを提供する事業者やシステム）に対応した専用の認証フローを実装している点が特徴だ。

さらに、利用者が個別にインフラを構築・運用する必要があったSneaky 2FAとは異なり、NovaCookiesは運営者側が一元的にサーバーや機能をホストする完全管理型モデルを採用している。これにより、高度な技術力を持たないサイバー犯罪者であっても、容易に大規模なフィッシング攻撃を展開できる環境が整えられている。

正規DocuSign通知と多段リダイレクトによる偽装工作

観測された攻撃キャンペーンでは、標的をフィッシングページへ誘導するために電子署名サービス「DocuSign」の正規機能が悪用されている。

攻撃者は、経理部門からの送金通知書（PDF）が共有されたと装う文書共有通知メールを標的に送信する。このメールはDocuSignの正規システムから届く本物の通知（エンベロープ）であるため、送信元ドメインの正当性を確認する送信者認証やドメイン評判（レピュテーション）のチェックを自然にすり抜ける。悪意のあるリンクは共有されたドキュメントの内部に仕込まれており、多くのメールセキュリティ製品が検査を行うメール本文のレイヤーを回避する構造になっている。

被害者が文書内のリンクをクリックした後の誘導プロセスも巧妙だ。リンクをクリックした通信は、攻撃者のサーバーへ直接アクセスするのではなく、MicrosoftやGoogleの正規サインインエンドポイントを経由地（リダイレクトホップ）として挟む場合がある。さらに、Microsoftが2026年3月に注意喚起を行った「OAuthエラーリダイレクト手法」を悪用し、最終的に攻撃者が管理するインフラへと誘導する。

Islandは、信頼できるDocuSign通知、正規IdPのリダイレクト、見慣れたサインイン画面という各要素が単体では正当に見えるよう設計されており、これらがWebブラウザ上で一つの出来事として統合されることで被害者を欺く仕組みになっていると説明している。

AitMによるセッション窃取と高度な解析回避機能

最終的に到達する攻撃インフラにおいて、NovaCookiesは中間者攻撃（AitM）のリレーサーバーとして動作する。AitMとは、ユーザーと正規の認証サーバーの間に攻撃者のプロキシが割り込み、通信を中継する攻撃手法を指す。被害者が偽のサインイン画面にパスワードや多要素認証（MFA）コードを入力すると、NovaCookiesはそれを正規のMicrosoft 365サーバーへリアルタイムで転送する。認証が成立した瞬間に発行される認証済みセッション（Cookieなど）を横取りすることで、MFAを突破した不正アクセスを可能にする。

誘導先となるルアードメインには、バヌアツの国別コードトップレベルドメイン（ccTLD）である「.vu」を用いたものが多数確認されている（例: fordmotbvmorcompany[.]vu）。また、フィッシングURLには「PwPt-sHaRe」「Ms36-AcCeSs」「ClOd-ViEw」といった大文字と小文字を交互に配置したラベルが使われており、正規のMicrosoft関連サービスに見せかける工夫が施されている。

さらにNovaCookiesには、セキュリティ製品のスキャナーによる事前検知や分析を逃れるための防御策（アンチアナリシス機能）も組み込まれている。偽のログイン画面を表示する手前にCloudflareによるアクセス制限（ゲート）を設けているほか、ブラウザのデバッグツールによる実行を検知して遮断するメカニズムを備えるなど、防御側の検知・調査を困難にしている。

補足

多要素認証（MFA）を導入した環境であってもセッション情報を直接奪取できるAitM型フィッシングは、企業のクラウド環境を狙う脅威として利用が拡大している。