返信したら攻撃が始まる GmailからGitHubまで悪用する情報窃取の手口：不審なメールもリンクもない

不審なリンクも添付ファイルもないメールなら、安全だと思っていないだろうか。警戒心を解いてから攻撃に移る巧妙な標的型メール攻撃が見つかった。正規の開発者向けサービスまで悪用する手口を解説する。

[＠IT]

　サイバー攻撃の入り口といえば、不審なリンクや添付ファイルを含むメールを思い浮かべる人は多い。しかし、最初に届いたメールにはそうした要素が一切なかったとしたらどうだろうか。今後は返信をきっかけに攻撃が動き出す手口が流行するかもしれない。

攻撃の入り口は何気ない連絡から　警戒を解いてから始まる巧妙な手法

　Digital Security Lab Ukraine（DSLU）は2026年8月24日（現地時間）、ウクライナの市民社会団体の関係者を標的とした攻撃の調査結果を公表した。攻撃者は国際関係などを専門とする実在の人物になりすまし、安全保障や権利擁護活動に関する分析協力や資料交換を持ち掛けた。

　最初のメールには添付ファイルもリンクもない。宛名に相手の名前を記し、活動分野や協力先団体にも言及するなど、受信者に合わせて文面を作成していた。送信元には「Gmail」のアカウントが使われており、一見すると、仕事上の関係者から届いた自然な連絡に見える。

　標的が協業に関心を示して返信すると、攻撃者は謝意を伝えて「Natalia’s Analytical Report」と記したリンクを送った。リンク先は、開発者向けの正規サービス「Codeberg」に置かれた圧縮ファイルだった。

　ここで重要なのは、最初のメールを受信した時点では、添付ファイルやリンクを検査するだけでは攻撃を捉えにくいことだ。攻撃者はすぐに不正なファイルを送り付けるのではなく、まず相手とのやりとりを成立させ、警戒心を下げてから次の段階に進んでいた。

　日本企業でも、取引先との協業や採用関連の連絡、講演や取材の依頼、資料交換など、見知らぬ相手とメールを交わす場面は多い。今回の事例が国内で発生したことを示すものではないが、こうした日常的な業務連絡が攻撃の入り口として悪用される可能性は考慮しておく必要がある。

PDF文書に見えるショートカット　開いた裏で不正コードが実行される

　攻撃者が送った圧縮ファイルには、「Natalia’s_Analytical_Report.pdf.lnk」というファイルが含まれていた。実体はPDF文書ではなく、「Windows」のショートカット形式であるLNKファイルだ。PDF文書らしい名前とアイコンを使い、受信者が文書だと思って開くように細工されていた。

　Windowsでは、設定によってファイルの拡張子が表示されないことがある。その場合、末尾の「.lnk」が見えず、PDF文書のように見える。ファイルを開くと「aa.pdf」という正常な文書がダウンロードされ、画面に表示される。受信者には資料を開いただけに見えるが、その裏では別の処理が進んでいる。

　ショートカットに仕込まれたスクリプトは、攻撃者が管理する「GitLab」のリポジトリから追加のコードを取得し、スクリプトファイルとして保存・実行する。さらに別のコードを取得してメモリで実行し、端末情報などを収集する仕組みだった。

　収集対象には、Windowsのバージョンや更新状況、ハードウェア構成、ネットワーク設定、組織のドメインへの参加状況などが含まれる。ダウンロードフォルダ内のファイル名も取得される。つまり、攻撃者は端末の基本情報に加え、どのようなファイルが保存されているかを把握しようとしていた。

　攻撃者はWindowsのタスクスケジューラにもタスクを登録し、15分ごとに実行されるよう設定していた。これにより、侵入後も端末情報を定期的に収集できる仕組みを構築していた。

　PDF文書が正常に表示されたからといって、ファイル全体が安全とは限らない。見慣れた文書が開くこと自体を安全性の判断材料にするのは危険だ。

Gmail、Codeberg、GitLab、GitHub　正規サービスが攻撃の経路に

　今回の攻撃では、複数の正規サービスが攻撃の各段階に組み込まれていた。Gmailは最初の接触、Codebergは圧縮ファイルの配布、GitLabは追加コードの取得、「GitHub」は収集データの送信先として使われた。

　これらのサービス自体が侵害されたという意味ではない。攻撃者が正規サービスの機能を悪用し、攻撃に必要なファイルやデータの受け渡しに利用したということだ。

　この手口では、既知の不審なドメインを遮断するだけでは攻撃の全過程を捉えられない恐れがある。正規サービスへの通信であっても、端末上でどのプロセスが通信を開始したのか、どのようなファイルを取得したのか、通常とは異なる通信が繰り返されていないかどうかといった挙動を確認する必要がある。

　対策の出発点は、最初のメールに不審な点があるかどうかだけで判断しないことだ。業務上の連絡であっても、初めてやりとりする相手から届いたファイルは、表示名やアイコンだけで安全性を判断しない。送信者や依頼内容に違和感があれば、既知の連絡先を使って別経路で確認することも有効だ。

　組織側では、メールの検査に加え、LNKファイルやスクリプトの実行制御、エンドポイントの挙動監視、正規サービスへの通信ログの確認を組み合わせたい。正規サービスを一律に遮断するのではなく、業務上の利用実態を踏まえながら、不審な実行や通信を見つけることが重要になる。

　今回の調査はウクライナの市民社会団体を標的とした事例だが、返信を誘うメール、文書への偽装、正規サービスの悪用という手法そのものは、特定の国や業種に限られるものではない。受信時点で不審な要素が見つからないことを、安全の証拠にしてはならない。