要点
- 2026年8月中旬から、Google カレンダーの招待をきっかけに、企業の利用者の Google ログイン状態（セッション）が盗まれていると、セキュリティ会社の Material Security が報告した。
- 偽の画面は本物の Google のログインを中継するため、パスワードも2段階認証の承認も本物と同じに見える。盗まれるのは、ログインしたあとの「入館証」にあたるセッションだ。
- 同社は、いまは招待の手口が Google ドライブの共有通知などに移り、活動は散ったように見えるとしている。ただし再開しやすい状況だとも述べている。
何が起きたか
Material Security の脅威調査チームによると、攻撃は2026年8月中旬に始まった。8月末の時点では、ふつうの不審メールの一件にしか見えなかった。9月の第1週に、同社は大規模な作戦だと気づいたという。
きっかけは、Google カレンダーの招待だ。件名や内容は、留守電の通知、見積依頼、裁判所の呼び出し、支払いの遅れなどを装う。送り主は、受け取る人がすでにやり取りしている組織であることが多い。同社は、乗っ取られた8,570のメールアドレス（6,354のドメイン）が送信に使われたと報告している。知り合いからの招待なので、疑いにくい。
招待の中のリンクは、Google 自身の転送機能や share.google、ドライブのファイルなどを経由する。そのため、評判をもとにした検査では「問題なし」と出やすかった。同社は、攻撃に使われたドメインが、9月中旬まで調べた市販の評判データのすべてで「安全」と判定されたと書いている。
行き着く先は、本物の Google のログイン画面を間に挟んで中継する偽サイトだ。利用者が入れたパスワードや確認コードは、攻撃者が本物の Google にその場で渡す。その結果、攻撃者にログイン済みの状態が渡る。リンクの見た目を確かめるだけでは、防ぎにくい。
同社は、攻撃用の土台（ドメインなど）を使い捨てにしていたと説明する。ドメインの多くは、使う数日前に登録されていた。そこで同社は、Cloudflare の不正報告窓口に通報して対処した。Cloudflare は、該当の接続先に警告画面を出した。同社は、1か月の間に68,676通を止め、897のドメインを停止させたとしている。この数字は、データの提供に同意した顧客からのものだけで、実際はもっと多いと同社は述べている。
日本の利用者への影響
Material Security の報告に、日本への言及は見当たらない。日本の組織や利用者に被害があったかどうかは、分からない。同社の報告では、送信は米国の営業時間帯に沿っていたとされる。確認した Material Security の記事には、被害の地域や業種の内訳は見当たらない。
今すぐやること
- 管理者は、Google Workspace の管理コンソールで、カレンダーの「招待を自動で予定に追加する」設定を見直す。Material Security は、返信した招待だけを追加する設定を勧めている。
- 管理者は、不審なログインがないか、ログの確認を日常の手順にする。いつもと違う場所や端末からのログインがないかを見る。
- 管理者は、疑わしいアカウントについて、セッションの強制終了と、アプリに与えた権限の取り消しを、短い時間でできるように手順を決めておく。Material Security は、被害の範囲を1時間で閉じられるかを問うている。
- 利用者は、知り合いからでも、突然届いたカレンダー招待を疑う。留守電、裁判所、支払いといった急がせる題名で、中のリンクを押させようとするものは特に注意する。リンクを開かず、別の連絡手段で送り主に確かめる。
- クリックして入力してしまったら、すぐに情シスへ連絡する。
背景
今回使われた中継の枠組みは「Nyasher」という名前で、2月から公に記録されている。Material Security によると、この名前は、JavaScript の中に固定されたまま残っていた鍵に由来する。また同社は、稼働中の Google 向けのコードと一緒に、未完成の Microsoft 365 向けの部分も出荷されていたと書いている。
また、カレンダーの招待は、メールの検査をすり抜けやすい。Material Security は2025年12月の記事で、既定の設定だと招待が自動で予定に入り、メールを削除しても予定が残りうると指摘していた。
技術者向けの詳細
- 時系列（Material Security）: 2026年8月中旬に開始、9月第1週に大規模と判明、9月末に Operation CloudFire を開始、9月を通じて誘いの題材が入れ替わるのを観測、10月28日に総括記事を公開。
- 同社の1か月の集計: 68,676通の遮断、2,112の悪性 URL を分析、897のドメイン停止、8,570の送信元アドレス、6,354のルートドメイン。
- 悪性リンクの経由先: Google の
/url転送、share.google、Google Drive のファイル。Intuit の取引通知リンクを使う変種もあった。 - 入口に Cloudflare Turnstile を置き、認証情報の入力画面はスクリプトで後から作る。そのためクローラーや URL の検査では中身が見えにくい。
- 使い捨ての土台: 誘導用のドメイン9個を5つの登録業者にまたがって使った。受け口は、使う波の1〜20日前に用意されていた。ワイルドカード証明書が、ドメイン登録の46分前に発行された例がある。
- 同社は、指標と時系列を含む技術的な内訳を公開している。ドメイン一覧のシートもある。監査ログのイベント名は、今回確認できなかった。
- 同社の検出の考え方: 技術的な兆候、メッセージの意図、リンクの行き先、送信元との関係を合わせて採点する。カレンダー招待は独立した検査対象として扱う。
- Google Workspace の設定場所: 管理コンソールの「アプリ > Google Workspace > カレンダー > 詳細設定」の「招待をカレンダーに追加」（2025年12月の Material の記事による）。
