マルバタイジングとフィッシングキャンペーンでホテル業界のアカウントが攻撃の標的に

このブログはこちらの英語ブログ（2025年8月29日公開）の機械翻訳です。

Oktaの脅威インテリジェンスチームは、ホテルやバケーションレンタルに特化したサービスプロバイダー少なくとも12社以上を装った大規模なフィッシングキャンペーンを追跡しています。

この攻撃では、ターゲットとなったユーザーを非常に巧妙なフィッシングサイトに誘導するために、悪意ある検索エンジン広告、特にGoogle検索などのプラットフォーム上のスポンサー広告が使用されていました。この攻撃は、精巧に偽装されたログインページとソーシャルエンジニアリングの手口を活用して、セキュリティ制御を回避し、ユーザーの信頼を悪用するものです。

私たちは、少なくとも13社のホスピタリティ企業がこの偽装に使われていたことを確認しています。

このフィッシングの誘導手法とターゲットの傾向から見て、このキャンペーンはクラウドベースの物件管理プラットフォームやゲストメッセージングプラットフォームのアカウントを乗っ取ることを目的としているようです。

初期アクセス

このキャンペーンでは、マルバタイジング（悪意ある検索エンジン広告の購入）が使用されており、偽装されたホスピタリティやバケーションレンタル企業のユーザーをだまして誘導していました。

たとえば、ある企業名で検索すると、次のように悪意あるサイトへ誘導する複数のスポンサー広告が表示されることがあります：

図1. 正規ドメインよりも上位に表示された、2つの偽サイトの例
 

図2. 別のフィッシングサイトに誘導するマルバタイジングの例

観測されたドメインは、正規サイトのスペルをわずかに変えたタイポスクワッティング（typosquatting）の手法を使っていました。

こうした悪意あるドメインにアクセスすると、ユーザーは偽のログインページを提示されます。少なくとも13社のホスピタリティ企業を装った多数のフィッシングサイトが確認されました。

図3. Oracle Hospitalityも偽装に使われた多数のサービスプロバイダーのひとつ

このフィッシングキャンペーンの誘導手口と標的から見て、目的はやはりクラウドベースの物件管理やゲストメッセージングプラットフォームのアカウントを侵害することにあると推測されます。

戦術・技術・手法（TTP）

このキャンペーンの第一段階の目的は、認証情報の窃取です。フィッシングページは、ユーザー名、メールアドレス、電話番号、パスワードを取得するように設定されています。

さらに、観測されたアクティビティからは、多要素認証（MFA）コードの回避または収集を狙った意図も確認されています。たとえば、いくつかのフィッシングページでは「ワンタイムパスワード」の入力を求めたり、「SMSコードでログイン」「メールコードでログイン」などの選択肢を提示していました。

図4. Airbnbを装ったフィッシングサイトのスクリーンショット
 

図5. 電話番号を入力すると、SMSで送信されるOTPコードの入力が求められる
 

これらのサイトのソースコードを調査すると、以下のような記述が確認されました：

この中のメッセージ：

• “Ошибка запроса” = 「リクエストエラー」
   
• “Запускаем запрос каждые 10 секунд” = 「10秒ごとにリクエストを実行します」
   

これらは、ロシア語を話す攻撃者による関与の可能性を示唆しています。また、攻撃者のサインインアクティビティには、大規模なロシアのデータセンタープロキシプロバイダーの利用も確認されました。

このキャンペーンではさらに、ビーコン（Beacon）技術を使って、トラッキングと分析を行っていました。これにより、攻撃者はフィッシングページにアクセスした被害者に関するリアルタイム情報を取得できます：

• ビジターアナリティクス
   
• ジオロケーションとターゲティング
   
• セッション時間
   
• ボット検出
   
• ステータス監視
   

Oktaのお客様は、security.okta.com のOkta Threat Intelligenceから詳細なIoC（侵害の兆候）情報をご確認いただけます。

対策（Mitigating Controls）

• 顧客やパートナーには、パスキーなど所有要素ベースの強固な認証手段を優先的に登録させ、フィッシング耐性を確保しつつユーザー負荷を最小限に抑える。
   
• 社内ユーザーには、Okta FastPass、パスキー（FIDO2 WebAuthn）、スマートカードなどの強固な認証手段を登録させ、ポリシーでフィッシング耐性を強制する。
   
• 使用頻度の低いネットワークからのリクエストに対しては拒否または高保証レベルを要求する。
   
• 過去のユーザーアクティビティと逸脱するアプリケーションアクセス要求を検知し、適応型リスク評価に基づく対応を自動化する。
   
• 不審なドメインの登録を監視し、提供されるコンテンツに変化がないか観察する。アプリケーションログを確認し、疑わしいドメインとの通信履歴を特定する。もし著作権や商標の侵害があれば、証拠を添えてドメインレジストラやホスティングプロバイダーに削除申請を行うことを検討する。
   
• マルバタイジングやフィッシングキャンペーンが自社ブランドを標的にしている兆候が見られた場合はユーザーに警告を出す。
   
• ユーザーアカウント上で不審なアクティビティが確認された場合は、エンドユーザーに通知する。
   

本調査にはMoussa Dialloも貢献しました。

以上の内容は、原文（英語）の機械翻訳であり、原文と内容に差異がある場合は、原文が優先されます。