月額320ドルのAitMフィッシング「NovaCookies」— 正規Docusign通知とMicrosoft/Google経由のリダイレクトでM365セッションを窃取、755ドメインを確認

Islandは2026年8月26日、Microsoft 365のサインインをリアルタイムで中継して認証済みセッションを窃取する adversary-in-the-middle（AitM、攻撃者が仲介者として通信を中継する）フィッシングサービス「NovaCookies」について、詳細な分析を公表した。同社は「月額320ドルのサブスクリプションとして提供され、数百の組織が標的になっていた」と説明している。

NovaCookiesは、パスワードと多要素認証（MFA）の入力後に生成されるセッションCookieを盗むことで、MFAを迂回する。Islandによると、同サービスはTelegramで宣伝され、顧客管理やリダイレクト設定、サポートもTelegram上で行われていた。

何が起きたか

Islandがレビューしたキャンペーンでは、次の特徴が確認された。

• 標的: 米国・英国・カナダ・ドイツ・イスラエル・アラブ首長国連邦など、複数地域の数百組織
• 価格: 月額320ドル、14日間で200ドル。ドメインやホスティング、Google/Microsoftブランドのリダイレクトサービスが含まれる
• インフラ規模: 専用の悪性インフラとして755ドメインを特定し、 companion IoCリリースとしてGitHubで公開した
• 活動時期: 低ボリュームのインフラは2025年後半から存在したが、2026年5月中旬から登録が急増し、6月にピークを記録して8月も新たなインフラが出現していた

Islandは「Proofpointが3月から5月にかけて活動増加を報告したのに対し、自社のデータセットはドメイン登録日と初観測日を組み合わせた“インフラの可視性”を測っており、視点の違いによる差だ」と説明している。

ブランドを模したドメインの多くは.vu（バヌアツの国別コード）に置かれ、レビュー対象では約90%の組織が.vuドメインのルアーに関連していた。例として同社は次のようなドメインを挙げた。

• fordmotbvmorcompany[.]vu — 「Ford Motor Company」に文字を挿入
• morganstbftanley[.]vu — 「Morgan Stanley」を分断
• munichreinsurdjqanceamericainc[.]vu — 「Munich Reinsurance America Inc.」を歪曲
• internationalbusinessmaclsihinesibm[.]vu — IBMの正式名と略称を組み合わせ

同社は「これらの名称はルアー用インフラであり、参照された企業が侵害されたことを意味しない」と注意を促している。

攻撃の流れ：DocusignとIDプロバイダーを悪用する「二重の封筒」

Islandが「最も強力な配信チェーン」と呼んだ手口は、受信者が既に信頼しているサービスを悪用する。

1. 正規のDocusign通知が届く — メール自体は本物のDocusignが送信した通知で、差出人認証やレピュテーション検査を通過する。
2. 封筒の中の文書が偽物 — 受信者が開くDocusignエンベロープは本物だが、その中に表示される「会計部門が送付した支払通知PDFを共有した」とする文書が偽造されている。悪性のリンクはこの文書内に隠され、多くのメールセキュリティ製品が検査するレイヤーの内側に置かれていた。
3. MicrosoftまたはGoogleの正規ドメインを経由 — 一部のチェーンでは、攻撃者が管理するテナントに登録したアプリケーションのredirect_uriを悪用し、Microsoftが2026年3月に文書化したOAuthエラー・リダイレクトの手法を使った。login.microsoftonline.com/common/oauth2/v2.0/authorizeにprompt=noneを付けて失敗するサイレント認証を呼び出し、Entra IDが自らのドメインから事前登録済みの攻撃者側ホップへブラウザを転送する。トークンは発行されず同意画面も出ないが、「信頼できる開始ドメイン」を経由したことで次のホップが正当に見える。Googleのサインインエンドポイントを同じ役割で使うチェーンも少数確認された。
4. AitMキットが認証を中継 — 最終的に到達した攻撃者管理のインフラで、Microsoft 365のサインイン画面が中継（プロキシ）される。利用者がパスワードとMFAコードを入力すると、攻撃側で認証済みセッションが生成され、Cookieが窃取される。

ルアーURL自体も特徴的で、PwPt-sHaReやMs36-AcCeSs、ClOd-ViEwといった大文字小文字が混在したラベルに、長いトークンと短いトークンが続く構造だった。Islandは「この混在はキャンペーンの指紋にはなるが、単独の検知シグネチャとしては不十分だ」と述べている。

回避と商業モデル

NovaCookiesは、自動解析を妨げるために複数の対策を組み合わせていたとIslandは説明する。ブラウザチェック、proof-of-work（計算課題を解かせることでボットを排除する仕組み）、短寿命のコンテキスト紐付け、実行時に調整可能な制御だ。同社は「これらは解析を困難にするが、万能ではない」と位置づけている。

商業面では、AitMリレーの構築・維持という専門的な作業を利用者が自前で担う必要がなく、月額課金で「保守されたサインインフロー、インフラのローテーション、運用画面」が手に入る。Islandは「外部からは無関係に見える複数のフィッシング事案が、同じ製品を借りた多数の顧客による展開である可能性がある」と指摘する。Telegramで流布した1回限りの消失画像には、顧客パネルのプロフィールとされる画面が含まれ、Cookieリンクの購入や注文、ウォレット、リダイレクトサービス、サポートのメニューが確認できたと同社は述べている。ただし同社は「画像は販売者の主張を示すものであり、注文や支払いを独立して確認したわけではない」と慎重に記している。

Islandは、NovaCookiesをProofpointが評価した「Sneaky 2FA」の亜種と位置づけている。

影響と対策 — Islandは何を推奨しているか

Islandは本報告で、構造的な防御として「フィッシング耐性のある認証（phishing-resistant authentication）」が有効だと述べている。これはFIDO2などの公開鍵認証を用い、中継された偽サイトでは認証が成立しない方式を指す。

同社はまた、キャンペーンごとに関連性が不明に見えても同一製品の展開であり得ること、昨日のドメインをブロックするだけでは使い捨てのインフラの一部を除去したに過ぎないことを強調している。防御側は、個別のドメイン遮断に加えて、Docusignエンベロープ内の文書リンクや、IDプロバイダーの正規ドメインを経由したリダイレクトといったチェーン全体を検査し、755件のIoCを継続的に照合することが有効だと同社は示唆している。

MicrosoftのOAuthエラー・リダイレクトについては、攻撃に使われたアプリケーションIDが、IDプロバイダー側での無効化の手がかりになるとIslandは述べている。Docusignについては、正規の通知を悪用する手口であるため、通知自体の正当性だけで判断せず、エンベロープ内の遷移先を慎重に確認する必要があると同社は説明している。

出典

• Island「NovaCookies at scale: Inside the $320 Phishing Service Targeting Hundreds of Organizations」（2026年8月26日） https://www.island.io/blog/novacookies-at-scale-inside-the-320-phishing-service-targeting-hundreds-of-organizations