C
月内に
ロシア語のサイバー犯罪フォーラムで販売されているフィッシングツールキット「iAuthFlow v2」が分析されました
📌 一言でいうと
ロシア語のサイバー犯罪フォーラムで販売されているフィッシングツールキット「iAuthFlow v2」が分析されました。このツールは、Googleアカウントの認証セッションを奪取した後、攻撃者が制御するパスキーを登録させることで、パスワード変更後もアカウントへのアクセスを維持する永続性を確保します。従来のフィッシングとは異なり、パスワードリセットによるセッション無効化を回避できる点が非常に危険です。
🔍該当判定
- 業務でGoogle Workspace（Gmail, Googleドライブ等）を利用している
- Googleアカウントのログインに「パスキー（Passkey）」の設定を許可している
- 社員がGoogleアカウントにログインする際、多要素認証（2段階認証）を利用している
- 不審なメールのリンクからGoogleのログイン画面に誘導され、情報を入力した心当たりがある
上記いずれにも該当しない → 静観でOK
✅該当時の対応
1. 不審なログイン要求やリンクへの注意喚起を徹底する。2. アカウントのセキュリティ設定から、身に覚えのないパスキーや認証デバイスが登録されていないか確認する。3. 多要素認証（MFA）を適切に設定し、不審なアクティビティの通知を有効にする。
📧 メール案を見る (社員向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【注意喚起】Googleアカウントへの不正アクセス手法について
お疲れさまです。情報システム担当です。
パスワードを変更しても、攻撃者がアカウントに潜伏し続けることができる高度なフィッシング手法が確認されました。
ご協力をお願いしたいこと:
1. 心当たりのないメールやメッセージに含まれるリンクから、Googleログイン画面に情報を入力しないようご注意ください。
2. Googleアカウントの「セキュリティ」設定から、登録されている「パスキー」や「信頼できるデバイス」に、身に覚えのないものがないか確認してください。
対応期限: 本日中
お疲れさまです。情報システム担当です。
パスワードを変更しても、攻撃者がアカウントに潜伏し続けることができる高度なフィッシング手法が確認されました。
ご協力をお願いしたいこと:
1. 心当たりのないメールやメッセージに含まれるリンクから、Googleログイン画面に情報を入力しないようご注意ください。
2. Googleアカウントの「セキュリティ」設定から、登録されている「パスキー」や「信頼できるデバイス」に、身に覚えのないものがないか確認してください。
対応期限: 本日中
Subject: [Security Alert] Advanced Phishing Technique Targeting Google Accounts
Dear employees,
A sophisticated phishing technique has been identified that allows attackers to maintain access to Google accounts even after a password reset.
Requested Actions:
1. Please be extremely cautious of links in suspicious emails or messages and avoid entering your credentials into unfamiliar login pages.
2. Review your Google Account 'Security' settings to ensure there are no unrecognized passkeys or trusted devices registered.
Deadline: End of day today
Dear employees,
A sophisticated phishing technique has been identified that allows attackers to maintain access to Google accounts even after a password reset.
Requested Actions:
1. Please be extremely cautious of links in suspicious emails or messages and avoid entering your credentials into unfamiliar login pages.
2. Review your Google Account 'Security' settings to ensure there are no unrecognized passkeys or trusted devices registered.
Deadline: End of day today