Zoom のリモート・コントロール機能を悪用：巧妙なソーシャル・エンジニアリングに要注意

Hackers Abuse Zoom’s Remote Control to Access Users’ Computers

2025/04/22 gbhackers — 新たに発覚したハッキン​​グ攻撃は、Zoom のリモート・コントロール機能を悪用し、企業幹部や暗号通貨に関連する企業を標的とするものだ。被害者のコンピュータを、攻撃者はワンクリックで乗っ取ることができる。この高度な攻撃は、ELUSIVE COMET という脅威グループによるものとされる。技術的な欠陥が悪用されたわけではなく、ソーシャル・エンジニアリングや人為的ミスが原因となり、組織セキュリティにおける最大の弱点となるという、近年の傾向を浮き彫りにしている。

カンファレンスへの招待から暗号通貨の盗難まで

サイバーセキュリティ企業 Trail of Bits の CEO に対して、Bloomberg Crypto のインタビューを装うアプローチが行われたときに、この攻撃は初めて検知された。それは、なりすましにより、信憑性を高める策略である。

X DMs between Dan Guido (Trail of Bits CEO) and sockpuppet accounts from ELUSIVE COMET
X DMs between Dan Guido (Trail of Bits CEO) and sockpuppet accounts from ELUSIVE COMET

この攻撃者は、偽の Twitter アカウントと、未検証の Calendly リンクを悪用することで、通常のビジネス上のインタラクションを装うものだ。

Zoom ミーティングの最中に、Zoom プラットフォームのリモート・コントロール機能を、この攻撃者は悪用する。それは、参加者が承認すれば、他のコンピュータを操作できるという正当な機能である。

驚くべきことに、攻撃者は自分の表示名を “Zoom” に変更し、悪意のリクエストを通常のシステム通知のように見せかける。

この巧妙なインターフェイス操作は、時間に追われるビジネス上のやり取りにおいて、ポップアップ・プロンプトに対して承認をクリックすることに慣れてしまった、ユーザーの心理を悪用するものだと、セキュリティ専門家たちは警告している。

このリモート・コントロールのリクエストが承認されると、被害者のシステムへの完全なアクセス権を、攻撃者は取得してしまう。

このアクセス権により、マルウェアのインストール／機密データの窃取などに加えて、このグループが過去に実施した攻撃のように、数百万ドル相当の暗号通貨の詐取などが引き起こされる可能性がある。

Example of the Zoom remote control request dialog showing a forged name 'Zoom' as the requester
Example of the Zoom remote control request dialog showing a forged name ‘Zoom’ as the requester

ELUSIVE COMET の特徴は、その高度な運​​用にある。正当なビジネス・プロセスを模倣し、相手との信頼関係を構築することで、このグループは、従来からの数多くの技術的制御を回避している。

彼らの戦略は、今年初めに発生した $1.5 billion 相当の、Bybit に対するハッキングで用いられた手法と酷似しており、ソフトウェアの脆弱性ではなく、運用上の弱点が悪用されている。

彼らのインフラには、X (旧 Twitter) の @EditorStacy や @KOanhHa といったアカウントや、”bloombergconferences[at]gmail.com” というメール・アドレスに加えて、本物の Bloomberg Web サイトと酷似した、偽の会議リンクが含まれている。

Calendly booking page used by the attackers to schedule fake Bloomberg interviews and meeting invite from 'Bloomberg Crypto'
Calendly booking page used by the attackers to schedule fake Bloomberg interviews and meeting invite from ‘Bloomberg Crypto’
なぜこの攻撃が機能するのか？
  • 正当性：通常のビジネス環境における、使い慣れたワークフローが悪用され実行される。
  • インターフェイスの欺瞞：許可ダイアログが悪用されるため、セキュリティ・リスクに関する明確な警告が表示されない。
  • 慣れ：忙しい会議において、ポップアップを承認することに、ユーザーは慣れてしまっている。
  • 散漫な注意：被害者は会話に集中しており、サイバー・セキュリティには注意が向けられていない。

経験豊富なセキュリティ専門家でさえも、こうした戦術の餌食となっている。この状況が浮き彫りにするのは、こうした運用上の攻撃に対して、如何に組織が脆弱であるかだ。

したがって、ユーザー組織に対して推奨されるのは、ビデオ通話中にソーシャル・エンジニアリングの手口を見抜くためのスタッフ・トレーニングを実施し、すべてのメディア・リクエストを公式チャネル経由で行うようにし、疑わしいインタラクションに関する組織的な報告手順を導入することである。

今回の ELUSIVE COMET 攻撃は、組織が技術的な防御を強化するにつれて、攻撃者は人的要因や運用上の盲点を悪用し始めるという状況を如実に示している。

Zoom のリモート・コントロール機能を悪用した攻撃が報告されていますが、いつものことながら、攻撃者たちがユーザー心理を巧みに突く手口には舌を巻きます。こうした手法が存在することを知っていても、会話に集中している最中にうっかりポップアップをクリックしてしまう可能性は十分にあり、改めて恐ろしさを感じます。よろしければ、Zoom で検索も、ご参照ください。