Googleの信頼を逆手に：AppSheet通知を装うメール型フィッシング

Hackreadによると、攻撃者がGoogleのAppSheetプラットフォームを悪用して、フィッシングメールを送信しています。

Ravenのリサーチャーがこのキャンペーンを確認しており、AppSheetになりすまして「商標権侵害」に関する虚偽の通知を送る手口だと警告しています。

このメールはAppSheetの正規インフラから送信されるため、セキュリティ対策をすり抜けやすく、人の目にも正規の連絡に見えやすい点が問題です。

リサーチャーは次のように説明しています。「AppSheetはGoogle Cloudのサービスで、Googleのインフラ上で提供されています。そのため、「appsheet.com」からのメールが表示されると、多くの従業員はGmailやGoogle Driveと同等に安全だと見なします。また、AppSheetからの通知は日常的に発生するため、攻撃メールが通常の連絡に紛れやすくなります。」

攻撃者は少なくとも2025年3月以降、この目的でAppSheetを悪用しており、全フィッシングメールの大きな割合を占めています。攻撃者はフィルタを回避するための手段を常に探しており、検出を逃れるために正規プラットフォームの悪用が増えています。

リサーチャーは次のように説明しています。「AppSheetを使ったキャンペーンは、正規サービスの悪用という広いトレンドを象徴しています。攻撃者は、自前のインフラを構築するよりも、信頼されたプラットフォームを利用したほうが高い成功率を得られることに気づいています。」

KnowBe4のSecurity Awareness AdvocateであるErich KronはHackreadの取材に対し、次のように述べています。「広く知られているブランド名を利用したソーシャルエンジニアリング攻撃自体は目新しいものではありませんが、非常に効果的です。こうした攻撃は日々の業務連絡に溶け込むよう設計されており、被害者の警戒心を下げてしまいます。」

KnowBe4のセキュリティ意識向上トレーニングは、従業員のセキュリティ意識を高め、日々求められるセキュリティ上の判断に従業員一人ひとりが的確な意志決定を下すことを可能にします。世界の7万社を超える企業や団体がKnowBe4を採用して、防御の最終ラインとして「人」による防御壁を構築して、セキュリティ文化の形成につなげています。

詳細については、Hackreadの記事を参照してください。