2026年7月上旬、TA419として追跡されている中国のスパイ集団とみられる組織が、Anthropicの幹部社員や元ホワイトハウス科学顧問を装ったフィッシングメールを送信した。メールは、米国の大学やシンクタンク、法律事務所に所属するAI政策の専門家に対し、偽のAI政策諮問委員会への参加、またはAI輸出規制に関する上院報告書への協力を求める内容だった。受信者がリンクをクリックすると、偽のOneDriveページが表示され、そこから認証情報を盗むサイトへ転送された。
詐欺の手口
一連の攻撃で最初に使われたリンクのドメインはdriftshare.coで、Cloudflareで保護されたページにつながっていた。そのページには、偽のOneDrive読み込み画面の背後にCloudflare Turnstileの認証画面が表示された。認証後、被害者は2つ目のドメインglobalfileshareplatform.comに転送され、攻撃者が通信に割り込む（AitM）ページに誘導された。このページは、ブラウザー内に別のブラウザーを重ねて表示するオープンソースツールを使い、Microsoft 365／Entra IDのログイン情報を取得した。集団はmsfile.onlineやonecloudfilesync.comなど、ファイル共有サービスを思わせる別のドメインも使って活動を隠していた。
専門家の推奨策
Proofpointの分析によると、標的となる可能性のある組織は、ログイン先のオリジンにひも付けられたパスキーなど、フィッシングに強い認証方式を導入すべきだ。集団が使ったドメインはCloudflareのコンテンツ配信ネットワークの背後でホストされており、サーバーの特定を難しくしている。TA419はこれまでにも、日本台湾交流協会やHeritage Foundationなど、他の組織になりすましたことがある。
なぜ重要か
大学の研究者、シンクタンクのアナリスト、法律事務所のコンサルタントは、Microsoft 365アカウントを侵害され、攻撃者に内部の通信や文書を見られた可能性がある。機微なAI政策を扱う人々にとって、何気ないメールの招待が認証情報の窃取につながり得ることを示す事例であり、より強固なログイン保護の必要性が浮き彫りになった。実際に侵害されたアカウント数は不明だが、今回の手口から、今後も政策に影響力を持つ人々が標的になり続けることがうかがえる。
