海外テックメディアTechCrunchは、暗号資産メディアの関係者を装ったハッカーが、サイバーセキュリティ専門家を標的にした攻撃を行っていたと報じています。攻撃にはGoogle Docsが使われ、マルウェア配布の手段として悪用されていたとされています。
「偽の暗号資産カンファレンスを餌に、何者かがセキュリティ研究者を標的にした」
「大手暗号資産ニュースサイトで働いていると偽ったハッカーが、Google Docsをマルウェア配布の手段として使い、複数のサイバーセキュリティ専門家を狙った。」
信頼されるツールほど狙われる──Google Docs悪用の厄介さ
今回の攻撃で注目すべき点は、マルウェア配布の入口としてGoogle Docsのような一般的なクラウド文書サービスが使われたことです。Google Docsはビジネス、メディア、研究、教育など幅広い分野で日常的に利用されており、リンクを受け取った側も「とりあえず開いて確認する」心理になりやすいサービスです。
特にサイバーセキュリティ業界では、調査依頼、講演依頼、脆弱性情報の共有、共同研究の打診など、外部から文書リンクが送られてくる機会が少なくありません。そのため攻撃者にとっては、メール添付ファイルよりも自然に見えるGoogle Docsリンクの方が、警戒をすり抜けやすい場合があります。
日本企業でも、Google WorkspaceやMicrosoft 365などのクラウド型コラボレーションツールは急速に普及しています。こうした環境では、単に「不審な添付ファイルを開かない」という従来型の対策だけでは不十分です。共有リンクの送信元、アクセス権限、文書内の外部リンク、ダウンロード要求などを総合的に確認する習慣が必要になります。
暗号資産とセキュリティ研究者は“高価値ターゲット”になっている
今回の攻撃では、暗号資産ニュースサイトの関係者を装った点も重要です。暗号資産業界は、取引所、ウォレット、DeFi、NFT、ブロックチェーンインフラなど、多額の資金が動く領域です。そのため、攻撃者にとって暗号資産関連の情報や人脈は非常に価値があります。
一方で、標的となったのは一般ユーザーではなく、サイバーセキュリティ専門家です。セキュリティ研究者は、未公開の脆弱性情報、攻撃手法の分析データ、企業やプロジェクトとの連絡ルートを持っていることがあります。攻撃者が研究者を侵害できれば、単なる個人情報窃取にとどまらず、さらなるサプライチェーン攻撃やゼロデイ悪用につながる可能性もあります。
日本でも増える「イベント・取材・登壇依頼」型のソーシャルエンジニアリング
日本のIT業界でも、海外カンファレンスへの登壇依頼、Web3関連イベントへの招待、メディア取材、ポッドキャスト出演依頼などを装った接触には注意が必要です。特にLinkedIn、X、メール、Discord、Telegramなど、複数のチャネルを組み合わせて信頼感を演出する手口は今後さらに増えると考えられます。
攻撃者は、実在する企業名やメディア名、著名イベントに似せた名称を使い、もっともらしいプロフィールや文面を用意します。日本企業の担当者も、海外からの依頼だからといって無条件に信用するのではなく、公式ドメインのメールアドレス、過去の登壇実績、イベント公式サイト、担当者の本人確認などを丁寧に行うべきです。
今後の対策──「便利な共有リンク」をゼロトラストで扱う時代へ
今回のケースは、攻撃者が単に技術的な脆弱性を突くのではなく、人間の信頼や業務フローを巧みに利用していることを示しています。特にクラウド文書、カレンダー招待、オンライン会議リンク、ファイル共有サービスは、現代のビジネスに欠かせない一方で、攻撃の入口にもなり得ます。
企業や研究者が取るべき基本対策としては、外部共有リンクを開く前の送信元確認、ブラウザやOSの最新化、文書内リンクの不用意なクリック回避、業務端末と検証環境の分離、多要素認証の徹底などが挙げられます。また、セキュリティ部門は「Google Docsだから安全」「有名メディア名だから本物」といった思い込みを前提にせず、クラウドサービス経由の攻撃を想定した教育と監視を強化する必要があります。
暗号資産、AI、サイバーセキュリティといった成長領域では、専門家や企業担当者が狙われるリスクは今後も高まるでしょう。便利なツールを使い続けるためにも、リンクを開く前に一呼吸置く文化が、個人にも組織にも求められています。
引用元: Someone targeted security researchers using a fake crypto conference as a lure
