医療・医系大学を連鎖感染するAiTMフィッシング — 侵害アカウントが90超の.eduドメインへ13分で拡散、SRAが報告

セキュリティ企業のSecurity Risk Advisors（SRA）は2026年8月27日、医療機関と医療系の教育機関に広がるAiTM（中間者型）フィッシングのキャンペーンを報告した。侵害したアカウントを踏み台にして次の組織のアカウントを奪い、連鎖的に拡散する手口で、大学1校と医療機関2組織にまたがる一連の流れを再構成した。AiTMとは、攻撃者が利用者と正規のログイン画面の間に割り込み、入力された認証情報と多要素認証（MFA）をその場で中継して、認証済みのセッション情報を盗む手法だ。

連鎖の実態 — 13分で90超の.eduドメインへ

SRAが追跡した連鎖は、次の3段階で進んだ。

• 組織A（大学）: 侵害されたアカウントが、組織Bの少人数宛てに「Print_Scanned」という共有文書の通知を装う誘い文を送信した。リンク先は組織Aの名を冠したGoogleサイトの中継ページだった
• 組織B（医療機関）: 利用者が中継ページ経由で収集ドメイン（technoserveinckkkmozambique[.]vu）に進み、認証情報とセッションを窃取された。数分後には異常な通信事業者からのサインインが始まり、約7時間後には侵害アカウントから内部47件・外部約1000件のフィッシングが送信された。外部への一斉送信は約13分で90超の.eduドメインに届き、送信先は医学系の学術医療センターや大学医療組織、医科大学に集中した
• 組織C（別の医療機関）: 組織Bの侵害アカウントからの誘い文を受信し、別の収集ドメイン（royalswazilaknwndsugarcorporation[.]vu）へ誘導される利用者と、ConnectWise ScreenConnectの配布リンクに触れる利用者が出た

送信規模の分析では、1454人の受信者・565ドメインに到達し、医療提供組織が約47%、高等教育機関が約13%を占めた。消費者向けフリーメールを除くと両分野で約83%に達し、標的が医療エコシステムに絞られていることが分かる。送信速度と広がりから、SRAは手作業ではなく収集済み住所録を使った自動一斉送信とみている。

キットの特定と隠蔽の工夫 — Sneaky 2FA系と中程度の評価

メール防御機構が検出したリンクはSneaky 2FAというキットの特徴を示し、SRAは「Sneaky 2FAまたは近縁のAiTMキット」と**中程度の確度（moderate confidence）**で評価した。Sneaky 2FAは「Sneaky Log」というブランドで2024年後半から活動するサービス型フィッシング（PhaaS）で、Microsoft 365を狙い、正規のサインイン画面との間で認証情報とMFA入力をリアルタイム中継して、認証済みセッションのCookieを奪う。盗んだセッションを使い回すため二要素認証は再要求されず、パスワード変更だけでは攻撃者を排除できない。

SRAは、この評価がキットの特定であって特定の攻撃者への帰属ではないと明言している。PhaaSは広く販売されるため、基盤の重なりは同一犯行主体を意味しないという立場だ。

隠蔽面の工夫も詳しい。最初のクリック先は正規のGoogleインフラ上のGoogleサイトで、ドメイン評価による遮断をすり抜け、組織名を冠した中継ページが被害者の信用を得る。収集ドメインは使い回され（6日以上の寿命を確認）、回転するのは標的ごとに改名される中継ページ側だった。収集ドメイン名は実在組織名に無意味な文字列を挟んだ使い捨てのfillで、「Swaziland」（2018年にエスワティニへ改称される前の旧名）が使われており、古い収集データからの生成がうかがえる。公開サンドボックスの評価は軒並みゼロ（urlscanで0%、Triageで0/10、VirusTotalに検体なし）で、SRAは検査環境を指紋識別して無害な内容を返す積極的な隠蔽（cloaking）と分析している。

さらに資格情報窃取と並行する第2の配布経路として、ardecim[.]comがDocuSignやMicrosoftを装う誘い文から13MBのWindows実行ファイル（T1105に相当する外部からのツール転送）を配布していた。ScreenConnectの並行配布と併せ、正規ITツールの装いで常駐の足場を築く狙いとみられるが、実行ファイルの正体は未確認だ。

SRAが示す検知と防御 — セッション無効化と耐フィッシングMFA

SRAは防御側に対し、次の検知ポイントと推奨事項を示している。

• セッションの無効化: 影響を受けたアカウントはパスワード変更だけでなく、サインアウトの強制と更新トークンの無効化でセッションを無効化し、事後のサインイン記録で確認する
• 受信トレイルールの監視: 新規・更新の受信トレイルール作成を警告対象にし、「Conversation History」など目立たないフォルダへ既読化・移動するルールを遡って探索する（今回の手口で繰り返し出現した高精度の兆候）
• 遮断対象: 収集ドメイン・マルウェアドメインと特定のGoogleサイト中継パスを完全パスで遮断する。解決先IPでの遮断は共有インフラ（Google・Cloudflare）のため避け、sites.google.com全体の遮断もしない
• 登録間もないドメインの遮断: プロキシでの新規登録ドメイン遮断の有効化を検討する
• 耐フィッシングMFAの優先: FIDO2・パスキーなどのハードウェアに結びついた認証を条件付きアクセスの認証強度で強制する。プッシュ通知やワンタイムパスワードはAiTMで突破されるが、ハードウェア拘束の認証は攻撃連鎖を断ち切る
• 端末条件と継続的評価: 準拠・管理端末を要求し、継続的アクセス評価で管理外基盤からのセッション再利用を鈍らせる
• RMMの足場確認: 疑わしいリンクが実行された端末は、資格情報の対処とは別にScreenConnectの常駐を点検する

出典

• Security Risk Advisors, “Chained Account Takeovers: AiTM Phishing Campaign Propagating Across Healthcare and Academic Medical Institutions”（Richard Andrews、Vanessa Joseph、2026年8月27日）: https://sra.io/blog/chained-account-takeovers-aitm-phishing-campaign-propagating-across-healthcare-and-academic-medical-institutions/