Googleカレンダー招待を装ったフィッシング攻撃の実態と対策

フィッシング攻撃の概要と最新動向

フィッシング攻撃とは、特定の人やサービスになりすまして人をだます手法です。近年、特に日本を狙ったフィッシング攻撃が急増しています。

従来のフィッシングメールに加え、Googleカレンダーの招待機能を悪用した新しい攻撃手法が出現しています。この手法では、攻撃者が会議招待を装ってユーザーのログイン情報を盗み出します。

被害企業・団体数
約300
組織がGoogleカレンダー悪用の被害に
フィッシングメール数
2,300
2週間で確認されたメール数
Gmailユーザー数
4億人
世界中の攻撃対象となりうるユーザー

Googleカレンダーを悪用したフィッシングの手口

1

会議招待の送信

攻撃者は実在の企業・役員になりすまし、オンライン会議への招待メールをGoogleカレンダー経由で送信します。

→
2

「参加」ボタンのクリック

ユーザーが招待を信頼して「参加」ボタンをクリックします。

→
3

偽ログイン画面

Googleに似せた偽のログイン画面が表示され、ログイン情報の入力を求められます。

→
4

情報の窃取・悪用

入力されたログイン情報を使い、メール、カレンダー、ドキュメント、写真などの情報にアクセスされます。

チェック・ポイント社は、Google図形描画を悪用したフィッシング攻撃も確認しています。この攻撃では：

  • Google図形描画（ホワイトボードのようなツール）へのリンクを含むメールが送られる
  • 偽装されたreCAPTCHAやサポートボタンをクリックするよう誘導される
  • ユーザーのログイン情報が盗み取られる

Googleサービスが狙われる理由

Googleのサービスが狙われる主な理由は以下の通りです：

  1. Gmailアカウントの汎用性：Googleのアカウントを入手すれば、メール、カレンダー、連絡先、写真、ドキュメントなど多くのサービスにアクセス可能
  2. 企業利用の増加：企業アカウントとしてGmailを使用している場合、業務に関わる重要な情報が漏洩するリスクが高い
  3. ユーザー数の多さ：世界中で約4億人のユーザーを持つGmailは、攻撃者にとって魅力的なターゲット
  4. 決済情報の窃取：最終的には決済情報（クレジットカード情報など）の盗取が目的

効果的な対策方法

Googleカレンダーの設定変更

Googleは「知っているユーザーから届いた場合のみ」を有効にすることを推奨しています。

  1. パソコンでGoogleカレンダーを開く
  2. 右上の設定アイコン、次に「設定」をクリック
  3. 左側の「全般」セクションで、「予定の設定」次に「カレンダーに招待状を追加」をクリック
  4. 「知っているユーザーから届いた場合のみ追加」を選択
対策 詳細 効果
Googleカレンダー設定変更 「知っているユーザーから届いた場合のみ」を有効化 不審な招待に警告表示
多要素認証 IDとパスワード以外にスマートフォンの生体認証などを追加 IDとパスワードが流出しても不正ログインを防止
メールセキュリティ 高度なメールセキュリティツールの導入 フィッシングメールの検知率向上
不審な招待の確認 メール以外の方法で送信者に確認 なりすましの見極め
セキュリティツール Googleサービスと連携アプリの不審な動きを検知 攻撃の早期発見

重要ポイント：ログインが求められた際は反射的に入力せず、本当に信頼できるか再確認しましょう。メールを開いたりリンクをクリックしただけでは危険はありませんが、ログイン情報を入力した時点で情報が漏洩します。