ブラウザの中にだけ存在するフィッシング — BarracudaがMicrosoft経由のblob URL攻撃を解析

Barracuda Networksは2026年9月9日、フィッシングページをウェブサーバーに置かず、被害者のブラウザ内で生成する攻撃キャンペーンの解析を公表した。論文の執筆者はBarracudaのAssociate Threat AnalystであるAshitosh Deshnur氏だ。攻撃者はMicrosoftのOAuth（login.microsoftonline.com）やTeamsの正規ドメインを経由させ、最終的に**blob URL（ブラウザがメモリ上のデータを指す一時URL）**へ変換してフィッシング画面を描画する。サーバー側に常設のフィッシングURLが存在しないため、従来の取得・解析・ブロックリスト登録が効きにくいと同社は指摘する。

日本でもMicrosoft 365とTeams、DocuSign風の業務連絡は日常的に使われている。リンク先が一見Microsoftの正規サービスに見える点が、利用者の警戒を下げやすい。

従来と何が違うのか

Barracudaによれば、今回の手口は次の4点で従来のフィッシングと異なる。

• ブロックすべき静的ページが存在しない。フィッシング内容はblob URLとしてブラウザのメモリ上だけで描画される。永続的なURLがないため、事前に取得して分類・ブロックすることが難しい。
• 攻撃経路全体がMicrosoftの信頼されたサービスで包まれる。OAuthやTeamsを経由するため、表示上の遷移は正規サービス内にとどまり、利用者も自動スキャナーも不審と判断しにくい。
• ブラウザ内で実行を完結させる。blobページの読み込み後にservice workerを登録し、サンドボックス化されたiframe内でワークフローを管理する。リクエスト制御や画面遷移をブラウザ内で完結させる。
• 動的に制御できる。フィッシング画面はバックエンドからの指示をブラウザのメッセージ機構で受け取る。攻撃者は複数の被害者に対して表示先や挙動をリアルタイムで切り替えられる。

メール自体も工夫されている。DocuSignを装うメールにカレンダー招待（.ics）ファイルを添付し、通常の業務連絡に見せかける。招待ファイル自体はMicrosoft OAuthの正規エンドポイントを指しており、単体では悪性に見えない。

攻撃の流れ — 8段階

Barracudaが示す攻撃フローは次のとおりだ。

1. 被害者がDocuSignを装うメールを受信する。
2. メールにはカレンダー招待ファイルが添付されている。招待はMicrosoft OAuthの正規エンドポイントを指すため、一見無害に見える。
3. 仕込まれたリダイレクトパラメータが利用者をMicrosoft Teamsへ誘導する。
4. Teamsがcdn.bloom[.]ioにホストされた外部リソースを読み込む。
5. ブラウザがその内容をblob URLへ変換する。
6. blob URLがローカルにフィッシングページを描画する。
7. service worker、iframe、バックエンドの制御機構がフィッシングのワークフローと画面遷移を管理する。
8. 隠されたC2設定が、このページが単独ではなく、中央運用されるフィッシング基盤の一部であることを示す。

一連の遷移で、利用者が目にするドメインはMicrosoftの正規サービスが中心となる。Barracudaは「従来のフィッシング対策が頼ってきたドメインやURLという手がかりが減る」と説明している。

Barracudaが示す検知と防御の手がかり

Barracudaは、この種の攻撃はURLブロックだけでは防げないとして、振る舞いとID（認証）への着目を呼びかけている。同社が公表した主な推奨は次のとおりだ。

• OAuthの認可フローとリダイレクト連鎖を監視し、想定外の宛先への遷移がないかを確認するとBarracudaは推奨している。
• blob URLを用いたログイン画面や認証ワークフローの描画をブラウザ側で検査すると同社は推奨している。
• 外部由来コンテンツに紐づく不審なservice worker登録を検知すると同社は推奨している。
• FIDO2セキュリティキーやパスキーなどのフィッシング耐性のある多要素認証へ移行すると同社は推奨している。
• メールの初期URLだけでなく、クリック後の遷移全体を評価するメールセキュリティ制御を用いると同社は推奨している。
• DocuSign等の文書署名依頼が予期せず届いた場合、リンクがMicrosoft基盤に見えても慎重に確認するよう利用者へ周知すると同社は推奨している。

同社は「フィッシングは偽サイトの検出から、ブラウザ内の挙動とID保護の勝負へ移っている。今回のような手口では、フィッシングページは被害者のブラウザの中にしか存在しない場合がある」と述べている。

出典

• Barracuda Networks Blog「Threat Spotlight: Phishing pages that exist only inside the victim’s browser」（2026年9月9日、Ashitosh Deshnur氏）
  https://blog.barracuda.com/2026/09/09/browser-based-phishing-blob-urls-microsoft-redirects