Last Updated on 2024-07-18 14:01 by 荒木 啓介
サイバーセキュリティ研究者は、脅威アクターが安全なメールを迂回するためにエンコードされたURLの使用を増加させていることを報告している。この手法は新しいものではないが、今年の春からその使用が着実に増加している。セキュアメールゲートウェイ（SEG）は、マルウェア、スパム、フィッシングメールから組織を保護する重要な役割を果たしているが、一部の脅威アクターにとっては、悪意のあるメールを他のSEGを迂回して送信する魅力的な手段となっている。
Cofenseのセキュリティ研究者によると、最近、脅威アクターがSEGを利用して、電子メールに埋め込まれた悪意のあるURLをエンコードまたは書き換え、受信者に送信している事例が増加している。多くの場合、これらのメールが目的地に到着すると、SEGはリンクを適切に検証せずに悪意のあるURLを通過させてしまう。
SEGエンコーディングでは、セキュアメールゲートウェイ製品が送信される電子メールのすべてのURLを自身のインフラストラクチャを指すリンクに書き換える。受信者がエンコードされたリンクをクリックすると、まず送信者のSEGシステムにリダイレクトされ、そこでURLが安全かどうかをチェックした後、ユーザーは目的の宛先にリダイレクトされる。このチェックには、URLを評価するために評判、ブラックリスト、署名などのメカニズムが使用されるが、SEGがURLを悪意があると判断するまでには数日から数週間かかることがある。
今年の第2四半期、特に5月には、この手法の使用が大幅に増加している。Cofenseによると、脅威アクターが最も多く利用している4つのメールセキュリティゲートウェイは、VIPRE Email Security、Bitdefender LinkScan、Hornet Security Advanced Threat Protection URL Rewriting、およびBarracuda Email Gateway Defense Link Protectionである。
脅威アクターがSEGを使用して悪意のあるURLをエンコードし、メール防御メカニズムを迂回する事例が観察されている。この戦術に対抗するのは比較的困難であり、最良の方法はユーザーの意識向上と訓練である。
【ニュース解説】
セキュアメールゲートウェイ（SEG）は、マルウェアやフィッシングメールなどのサイバー脅威から組甼を守るために重要な役割を果たしています。しかし、最近の報告によると、脅威アクターがSEGを迂回するためにエンコードされたURLを使用する手法が増加していることが明らかになりました。この手法は新しいものではありませんが、今年の春から特にその使用が増えています。
エンコードされたURLを使用する攻撃では、脅威アクターが電子メールに含まれるURLをSEGのインフラストラクチャを指すリンクに書き換えます。受信者がそのリンクをクリックすると、最初に送信者のSEGシステムにリダイレクトされ、そこでURLが安全かどうかチェックされた後、最終的な目的地にリダイレクトされます。しかし、このプロセスには時間がかかる場合があり、その間に悪意のあるURLが受信者に届いてしまう可能性があります。
Cofenseのセキュリティ研究者たちは、特にVIPRE Email Security、Bitdefender LinkScan、Hornet Security Advanced Threat Protection URL Rewriting、Barracuda Email Gateway Defense Link Protectionなどのメールセキュリティゲートウェイを利用した攻撃が増加していると報告しています。これらの攻撃では、脅威アクターが様々なテーマのキャンペーンで悪意のあるURLをエンコードし、多くの場合、受信者のSEGがこれらのURLを適切に検証せずに通過させてしまいます。
この戦術に対抗するためには、SEGの設定を調整して他のSEGのエンコーディングを無視する方法がありますが、これは比較的困難です。そのため、最も効果的な対策はユーザーの意識向上と訓練です。ユーザーが疑わしいメールのリンクをクリックしないように教育することが、この種の攻撃から保護する上で重要です。
この手法の増加は、サイバーセキュリティの分野における継続的な脅威の進化を示しています。組織は、技術的な防御策だけでなく、従業員の教育と訓練にも注力することが重要です。また、このような攻撃手法の増加は、セキュリティソリューションの提供者にとっても、自社製品の検出能力を常に更新し、改善することの重要性を強調しています。長期的には、より高度な検出技術とユーザー教育の組み合わせが、この種の攻撃に対抗する鍵となるでしょう。
from Threat Actors Ramp Up Use of Encoded URLs to Bypass Secure Email.
