CISAサイバーセキュリティ警告：ロシアのスパイがZimbraのメール閲覧を攻撃に悪用

CISAなどのサイバーセキュリティ機関は、ロシア政府の支援を受ける攻撃者が、リンクをクリックしなくても成立する悪意あるメールを通じて10以上の組織を侵害したとして、多国間の警告を発した。

7月23日の勧告は、このキャンペーンを情報収集に重点を置く高度持続的脅威グループ、LAUNDRY BEARによるものとした。少なくとも2025年7月以降、このグループは西側諸国の政府、防衛組織、テクノロジー企業、学校、報道機関、その他のZimbraユーザーを標的としてきた。

この攻撃は、フィッシング対策を支える従来の前提を変えるものだ。従業員は、不審なリンクや添付ファイルを避ければ身を守れると教えられてきた。しかし今回、脆弱なZimbraクライアントでメールを開く、あるいはプレビューするだけで、エクスプロイトが実行された。

この違いにより、これは単なる国家支援型フィッシングに関する報告ではなくなる。このキャンペーンは、メールセキュリティの決定的な部分を、ユーザーの判断からソフトウェアのパッチ適用、ブラウザの挙動、監視、インシデント対応へと移した。

CISAサイバーセキュリティ機関、1年に及ぶZimbraキャンペーンを公表

中心となる警告は明確だ。細工されたメッセージをメールボックス所有者が閲覧しただけで、攻撃者は認証済みメールボックスを侵害できた。

共同のサイバーセキュリティ勧告は、一般にZCSと呼ばれるZimbra Collaboration Suiteに関わる活動を説明している。Zimbraは、組織が管理する環境内でWebメール、カレンダー、連絡先、ファイル機能、管理サービスを統合する。

このキャンペーンは、ZimbraのClassicユーザーインターフェースに存在する保存型クロスサイトスクリプティング脆弱性、CVE-2025-66376を悪用した。保存型クロスサイトスクリプティングでは、アプリケーションが安全にサニタイズできなかったコンテンツを表示した際に、攻撃者が制御するコードが実行される。

LAUNDRY BEARはHTMLメール内にエクスプロイトを埋め込んだ。脆弱なインターフェースは、メッセージ表示時に悪意あるCascading Style Sheetsの@importディレクティブを処理した。この処理により、外部コンテンツが被害者の認証済みZimbraセッション内でJavaScriptを実行できた。

ユーザーはファイルをダウンロードする必要も、認証情報を入力する必要も、外部リンクをたどる必要もなかった。メッセージを開く、またはプレビューするだけで、侵害開始に必要な限定的な操作が満たされた。

政府機関はこれを閲覧型エクスプロイトと呼んでいる。一部の報道では、配信後に意図的なセキュリティ判断が不要であることからゼロクリックと表現される。Proofpointは、受信者がなおメールを開くかプレビューする必要があるため、より正確に「half-click」という用語を使っている。

この違いは技術分析では重要だが、防御側にとってはほとんど慰めにならない。プレビューペインや通常の受信トレイ利用によって、従業員が危険と認識するような行動を取らないままメッセージがレンダリングされうる。

CISAによれば、LAUNDRY BEARは2025年7月以降、10以上の組織への攻撃に成功した。影響を受けた分野には、防衛産業基盤、連邦・地方政府、法執行機関、テクノロジー、教育、メディア、非政府組織が含まれる。

勧告は被害組織の完全な一覧を示していない。この非開示は影響を受けた組織を保護する一方、キャンペーンの規模や業務上の影響について外部から評価することを難しくしている。

このグループは当初、CVE-2025-66376をゼロデイとして利用した。これは、初期の悪用時点では防御側が利用できるベンダー修正がなかったことを意味する。Zimbraは2025年11月に修正版をリリースしたが、攻撃者はその後も脆弱な導入環境を見つけ続けた。

Zimbraのセキュリティ勧告では、関連する修正を含むバージョンとして10.1.13および10.0.18が示されている。修正は、Classicインターフェース内のメールHTMLにおけるCSSインポートディレクティブの悪用に対処した。

この時系列は、この事案における最初の大きな緊張関係を生む。エクスプロイトは未知のソフトウェア脆弱性として始まったが、キャンペーンの継続は、組織が公開済みの修正を適用しないことへの依存を強めている。

したがって、パッチの提供はこのインシデントを二つの時期に分ける。11月以前は、影響を受けた管理者に取れる防御策は限られていた。11月以降は、アップグレードの遅れと不完全な対処が主要な露出要因となった。

CISAのサイバーセキュリティ警告は、ベンダーのパッチ公開から8か月後に出された。そのタイミングは、多数のセキュリティ・情報機関による協調開示を正当化するほど、悪用が依然として重要だったことを示唆する。

協力機関には、米国、オーストラリア、カナダ、ニュージーランド、英国、および複数の欧州諸国の機関が含まれた。その参加は、キャンペーンの地理的な広がりと西側の組織への集中を反映している。

勧告はこの作戦を、より広範なロシアの情報収集パターンにも結び付けている。LAUNDRY BEARは、長期的なアクセスや追加の標的化を支えうる通信、認証情報、連絡先、認証関連データを求めている。

この目的は、Zimbraが価値ある標的だった理由を説明する。侵害されたメールボックスにはメッセージだけが入っているわけではない。組織内の関係、今後の会議、内部対立、業務計画、後続キャンペーンで信頼を利用できる連絡先が明らかになる可能性がある。

この攻撃は「人間のファイアウォール」を迂回した

このキャンペーンにおける最も重要な逆転は、慎重な従業員であっても標準的なフィッシング対策に従ったうえで、脆弱なメールボックスの制御を失いうることだ。

多くのフィッシング啓発プログラムは、送信者アドレスを確認し、緊急性を訴える要求を疑い、未知の添付ファイルを避け、リンクを検証するようユーザーに教える。こうした慣行は、認証情報の窃取や従来型マルウェア配布に対して今も有用だ。

しかし、メールのレンダリング中に実行される悪意あるコードは止められない。このケースでは、ユーザーが意味のある選択に直面する前に、Webメールクライアント内部で決定的なセキュリティ障害が発生した。

Proofpointの技術調査によれば、エクスプロイトはメッセージ本文に直接埋め込まれていた。被害者が脆弱なZimbraクライアントでメッセージを開くかプレビューすると発火したという。

同社は観測された活動をTA488として追跡している。また、LAUNDRY BEARと関連付けられる別の業界名称であるVoid Blizzardとの状況証拠上の類似性を報告している。

脅威インテリジェンスのラベルは、組織間で常に完全に一致するわけではない。各調査チームは、自らのテレメトリー、インフラ、標的、マルウェア、運用上の振る舞いに基づいてクラスターを構築する。

Proofpointは、直接テレメトリーだけでは高い確度の帰属を独自に行えなかったと述べた。ただし、米国政府パートナーとの連携により、公に説明された関連付けが確認されたとしている。

この留保は重要だ。多国間の勧告は国家支援について強い評価を示す一方、ある民間企業は自社データだけで立証できる範囲には限界があると説明している。

それでも、より広い結論は一通の悪意あるメールだけに基づくものではない。研究者は、ロシアの情報機関の利益と結び付く一貫した標的選定、インフラパターン、メール収集の目的、運用上のつながりを観測した。

このグループは、攻撃者が管理するProton Mailアカウントおよび以前に侵害したアドレスからメッセージを送信した。正規だが盗まれたアカウントからのメールは、簡易な送信者確認を通過し、既存の信頼を悪用できる。

文書化された誘導メールの一つは、偽情報対策に取り組む欧州機関間の協力に関するものを装っていた。正規に見える欧州連合のイベントリンクを含んでいたが、そのリンクは攻撃の本質的な仕組みではなかった。

危険なコードは、すでにメール内にあった。受信者は表示されたリンクを疑って完全に避けても、メッセージを読むだけでエクスプロイトを実行してしまう可能性があった。

この設計は、説得と侵害の通常の関係を逆転させる。従来のフィッシングは、誘導によって誰かを行動させたときに成功する。Zimbraキャンペーンで必要だったのは、物語に説得力を持たせることではなく、メッセージをレンダリングさせることだった。

セキュリティチームはしばしば従業員を人間のファイアウォールと表現する。この比喩は、特に技術的な制御が悪意あるメッセージを見逃した場合に、人々へ最前線のフィルタリング役割を割り当てるものだ。

LAUNDRY BEARの作戦は、この比喩の限界を示している。アプリケーションが意味のある選択肢を示す前に敵対的コードを実行するなら、人は安全な判断を下せない。

これは従業員教育を不要にするものではない。訓練は、アカウント悪用、異常なプロンプト、不審な後続連絡、従来型のフィッシング試行を認識するうえで、なお役立つ。

ただし訓練は、安全なレンダリング、迅速なパッチ展開、サーバー監視、管理者向け公開範囲の制限の代わりにはならない。代替手段として扱えば、予測可能な隙間が残る。

セルフホスト型のコラボレーションソフトウェアを使う組織は、特に重い負担を負う。導入環境を制御できる一方で、アップグレード計画、互換性テスト、保守時間、ログ保持、侵害評価も自ら担うことになる。

サーバーが日常的なコミュニケーションを支える場合、この負担は増す。メールの停止はほぼすべての部門に影響するため、管理者はパッチ適用をためらうことがある。

攻撃者は同じためらいから利益を得る。信頼性の高いエクスプロイトが公開されると、露出したシステムをスキャンし、サポート対象リリースに追随していない導入環境を標的にできる。

したがって本当の競争は、攻撃者と情報に詳しい従業員の間ではない。敵対者の作戦速度と、組織が資産を把握し、パッチを適用し、検知し、復旧する能力との競争である。

Ulejは一通の閲覧済みメッセージを広範な情報アクセスへ変えた

LAUNDRY BEARはUlejを構築し、メールレンダリングの欠陥を体系的な収集、永続化、制御された持ち出しへと転換した。

Ulejは政府勧告で名指しされたカスタム機能だ。脆弱なZimbraインターフェースを通じて段階的なJavaScriptを配信し、被害者の認証済みセッション内で動作した。

この位置により、コードはメールボックス所有者に関連付けられたアクセス権を得た。エクスプロイト開始後、攻撃者はすべての認証手順を再現する必要がなかった。

報告によれば、収集対象には最大90日分のメールが含まれた。最近のやり取りからは、現在進行中のプロジェクト、活発な交渉、出張、人事案件、調査、その他の時間的価値が高い情報が明らかになる可能性がある。

Ulejは、メールアドレス、パスワード、検索履歴、メールボックスのメタデータ、組織ディレクトリ情報も狙った。Global Address Listは、組織内の従業員、役割、チーム、関係性を明らかにしうる。

このようなディレクトリデータは、最初の侵害を超えた価値を持つ。攻撃者はこれを使い、上級職員、技術管理者、プロジェクト責任者、外部パートナー、より有望なフィッシング標的を特定できる。

このツールは二要素認証の情報と復旧情報も標的にした。二要素認証は検証ステップを一つ追加するが、盗まれたセッションデータや復旧メカニズムはその保護を弱めうる。

アプリケーションパスコードは、別の永続化経路を作り出した。これらのパスワードにより、古いアプリケーションや特殊なアプリケーションは、通常の対話型認証フローを繰り返すことなくアカウントへアクセスできる。

各機関は、「ZimbraWeb」という名前の未承認パスコードを、このキャンペーンにおける特に強い悪意ある活動の兆候として特定した。正規のアプリケーションパスコードも存在しうるため、防御側は名称だけでなく、作成時刻やアカウントの挙動も評価しなければならない。

パッチを適用すれば、この特定の脆弱性の継続的な悪用は防げる。しかし、盗まれた認証情報、悪意あるパスコード、有効なセッション、すでに収集されたデータが自動的に除去されるわけではない。

その時点が、パッチ適用と復旧対応を分ける境目となる。サーバーが今日完全に更新されていても、メンテナンス期間前に侵害されたアカウントが残っている可能性がある。

したがって、影響を受けた組織は、メールボックスへのアクセス、認証アクティビティ、アプリケーションパスコード、不審な転送動作、公開済みインフラ指標への接続を調査する必要がある。

CISAは、盗み出された情報がレビューと長期保管のために転送された可能性がほぼ確実だとしている。通信内容が攻撃者の管理するインフラに到達すると、ローカルでのクリーンアップでは取り戻せない。

共同分析によると、このキャンペーンではFlowerbedと呼ばれるバックエンド環境が使用された。そのDockerベースのサービスは、Ulejによって収集されたデータを受信、処理、保存していた。

Catcherと呼ばれるコンポーネントの一つは、DNSおよびHTTPサーバーとして機能した。DNSとWebトラフィックは、標的環境から情報を中継・転送するための柔軟な経路となり得る。

攻撃者は自動化された証明書サービスも利用した。一般的な証明書で保護された暗号化接続は、表面的なレビューでは通常のWebトラフィックに見える場合がある。

調査担当者は、レンタルされたクラウドインフラと商用VPNサービスを確認した。こうしたリソースは、攻撃者が自身の物理的な所在とキャンペーン活動を切り離すのに役立つ。

このグループは、インフラの一部を7日から60日ごとに入れ替えていたと報じられている。ローテーションは単純なブロックリストの有効期間を短縮し、長期的な相関分析を複雑にする。

政府の分析官は、比較的単純なFlowerbedコードベースの開発に人工知能が支援として使われた兆候も発見した。この観察は、AIがキャンペーンを設計した、あるいは脆弱性を発見したことを意味しない。

むしろ、コーディング支援の実用的な利用を示している。攻撃者は、特別に高度なソフトウェアを作成せずとも、ユーティリティコードを生成し、インフラを適応させ、開発時間を短縮できる。

このキャンペーンの有効性は、突出した単一コンポーネントではなく統合にあった。攻撃者は、レンダリングの欠陥、メールボックス権限、標的型データ収集、クラウドホスティング、暗号化、インフラローテーションを組み合わせた。

この組み合わせは、脆弱性の深刻度スコアが誤解を招き得る理由も説明する。脆弱性の運用上の影響は、それがどこに位置し、どの権限に到達し、攻撃者がどのように武器化するかに依存する。

メールは非常に価値の高い標的である。単一のメールボックスから、認証情報、機密コンテンツ、将来の誘導材料、組織図、パスワードリセットのワークフローへのアクセスが得られる可能性がある。

保存型クロスサイトスクリプティングのバグは、リモートでのサーバー乗っ取りより限定的に聞こえるかもしれない。しかし、認証済みWebメール内では、諜報グループが求める情報をまさに露出させ得る。

パッチはエクスプロイトを止めるが、インシデントを終わらせるものではない

更新だけをインストールする組織は、元の侵入口を閉じながらも、攻撃者が複製した鍵や盗まれた情報を未対処のまま残す危険がある。

Zimbraは2025年11月6日、バージョン10.1.13および10.0.18で関連する修正を公開した。パッチ告知では、セキュリティ深刻度を高と分類している。

管理者は、これらの過去バージョンを恒久的な到達点とみなすのではなく、サポートされている最新リリースへ移行すべきである。後続リリースには追加のセキュリティ修正や保守修正が含まれる可能性がある。

即時のパッチ適用が不可能な場合、各機関はユーザーを脆弱なWebインターフェースから遠ざけることを推奨している。この措置は露出を減らすが、あくまで一時的な対応にとどめるべきだ。

2025年7月以降も脆弱なままだったインターネット公開のZimbra環境は、調査に値する。明白なアラートがないことは、侵害がないことの証明にはならない。

このエクスプロイトでは、ワークステーションへのマルウェアインストールは不要だった。活動は、Webリクエスト、アカウント操作、アプリケーションパスコードの作成、またはローテーションする外部インフラへの接続として現れる可能性がある。

組織は、利用可能なログを勧告に記載された侵害指標と照合すべきである。また、Classicインターフェースで表示されたメッセージに関連する不審な外部リクエストも検索すべきだ。

認証レビューでは、通常と異なる場所、新しいデバイス、異常なセッション時刻、パスワード変更後も継続するアクセスを特定する必要がある。証拠が侵害を裏付ける場合、管理者はセッションを無効化し、影響を受けた認証情報をリセットすべきである。

チームは、特に「ZimbraWeb」という名前のアプリケーションパスコードを確認すべきだ。各パスコードをアカウント所有者と照合し、正当な運用目的のないエントリを削除する必要がある。

パスワードのリセットだけでは不十分な場合がある。有効なアプリケーションパスコード、セッションアーティファクト、または復旧手段を持つ攻撃者は、防御側が見落とす経路を通じてアクセスを維持できる。

メールボックスのルールと転送設定も調査に値する。侵入者は、それらを使って将来のメッセージを複製したり、選択した通信を隠したりできるため、元の欠陥を繰り返し悪用する必要がない。

対応担当者は、下流のID管理システムも考慮しなければならない。メールは無関係なサービスのパスワードリセットやアカウント復旧にも使われることが多く、横方向の侵害機会を生み出す。

このキャンペーンは、難しい証拠上の問題も浮き彫りにする。一部の組織には、1年前に始まった活動を再構築するために必要な過去ログがない可能性がある。

短い保存期間はストレージコストを削減するが、静かな諜報活動を調査するために必要な記録を消去し得る。このトレードオフは、公開開示が遅れた後に初めて明らかになる。

強力なログがあっても、流出後にすべてのメッセージが人間の分析官によって読まれたかどうかまでは答えられない可能性がある。インシデント報告では、確認済みの収集と、その後の諜報利用に関する推測を区別すべきだ。

帰属判断にも同様の規律が求められる。CISA、NSA、FBI、および同盟国の機関は、LAUNDRY BEARをロシア国家の支援を受けた組織と評価している。オランダの情報機関は、過去の作戦を調査した後にこのグループを初めて命名した。

オランダのAIVDとMIVDは、LAUNDRY BEARを少なくとも2024年に始まった侵害と結び付けた。オランダ警察に影響した2024年の侵害では、業務関連の連絡先情報が露出した。

新たなZimbra勧告は、このグループの手法に関する公的理解を広げるものである。一方で、各国政府の帰属判断を支えるすべての情報源を明らかにしているわけではない。

ロシア当局は、国家主導のサイバー作戦に関する西側の非難を一般に否定している。個々の技術的主張に対するロシアの公式な反応がないことは、それ自体で勧告を裏付けることも反証することもない。

防御側は、行動する前に地政学的な争いを解決する必要はない。脆弱性は存在し、ベンダーは修正を提供し、複数の調査機関が開示された手法と整合する悪用を確認している。

したがって実務的な対応では、二つの問題を分けるべきである。帰属は戦略的な理解を導き、観測可能なアーティファクトはローカルでの検知と復旧を導く。

組織は被害者数を過度に一般化することも避けるべきだ。「10を超える」という表現は、各機関が把握した侵害成功の確認済み標的を示すものであり、世界的な露出の信頼できる上限ではない。

一部の侵害は未発見のままである可能性がある。ほかにも、非公開で把握されているものの、公的報告から除外されている事例があるかもしれない。逆に、パッチ未適用のサーバーを、裏付ける証拠なしに自動的に侵害済みと数えるべきではない。

最も妥当な結論はより限定的だ。脆弱なZimbraインストールは実証済みの攻撃経路にさらされており、責任を負う作戦は機密性の高い西側の通信を積極的に狙っていた。

CISAのサイバーセキュリティ警告後に防御側が注視すべきこと

次の段階は、パッチ適用の進捗、他のメールプラットフォームへの移行を示す証拠、そしてキャンペーンの真の到達範囲を明らかにする開示に左右される。

最初のシグナルは、公開されたZimbraシステムがどの速度で消滅するか、あるいはサポート対象バージョンへ移行するかである。迅速なパッチ適用は、このグループにとって最も容易な残存標的プールを縮小する。

この結果は、協調開示が現在のエクスプロイトを封じ込められるという見方を強めるだろう。数か月後も露出が続けば、運用上のパッチ適用障壁が攻撃者にとって持続的な優位性であることを示す。

管理者は、従業員アンケートや調達記録ではなく、資産インベントリを通じてバージョン状態を確認すべきだ。サポート契約を購入していても、すべての本番ノードに更新が適用されたことは証明されない。

第二のシグナルは、LAUNDRY BEARがUlejの表示ベース手法を別の脆弱性やメールプラットフォームに適応させるかどうかである。勧告は、この能力に適応の可能性があると明示的に警告している。

Zimbraの欠陥は製品固有だが、戦略はより広範だ。認証済みセッション内で攻撃者が制御するコンテンツを処理するWebメールレンダラーは、いずれも重大なリスクをもたらし得る。

Proofpointは、他のロシア系グループがWebメールサーバーに対してハーフクリックエクスプロイトを使用した事例を別途記録している。この履歴は、CVE-2025-66376の価値が失われた後も、メールレンダリングが魅力的な諜報活動の攻撃面であり続けることを示唆する。

別のプラットフォームを狙う新たなキャンペーンは、この記事の中心的な判断を強めるだろう。それは、表示ベースの侵害が単一製品の異常ではなく、運用上の手法であることを示す。

適応が観測されなければ、このより広範な見通しは弱まる。ただし、諜報作戦は長期間にわたって隠されたままであることが多い。公的な沈黙は、この手法が放棄されたことを証明できない。

第三のシグナルは、各機関やインシデント対応者が追加の被害者、盗難データの影響、またはパッチ適用後の持続的アクセスを特定するかどうかである。こうした開示は、遅延した復旧対応のコストを明らかにする。

確認済み被害者が増えれば、公表された数値が初期段階の下限にすぎなかったことを示す。パスコードやセッションを通じた継続アクセスの証拠は、更新と復旧の違いをさらに裏付ける。

一方、追加の発見が限定的であれば、このキャンペーンが選択的だったことを示す可能性がある。LAUNDRY BEARは、無差別な犯罪収益化よりも諜報価値を重視しているように見える。

組織は、これらの公的シグナルを待ってから環境を見直すべきではない。今すぐ複数の具体的な行動を取れる。

第一に、すべてのZimbraサーバー、インターフェース、公開サービスを棚卸しする。各デプロイメントが現在サポートされているバージョンで稼働していること、忘れられたテスト環境が到達可能なままになっていないことを確認する。

第二に、通常の保存ポリシーで削除される前に、関連ログを保全する。調査担当者は、活動を再構築するためにWeb、認証、メールボックス、プロキシ、DNS、エンドポイントの記録を必要とする。

第三に、公開されたドメイン、アドレス、証明書パターン、パスコード名をハントする。指標は時間とともに失効するため、ブロックリストだけに頼らず、行動ベースの検索と組み合わせる。

第四に、証拠を収集した後で不審なセッションと認証情報を無効化する。早すぎるリセットは攻撃者に警告したり、有用な調査コンテキストを破壊したりする可能性があるため、これらの手順は慎重に調整する。

第五に、Webメールのユーザーおよびサーバーからのアウトバウンド通信を確認する。メッセージ表示イベントに近い時点で発生する予期しないDNSまたはHTTPアクティビティは、レンダリングベースの悪用の特定に役立つ。

第六に、機密メールの露出に対する対応経路を準備する。法務、経営層、セキュリティ、広報、影響を受ける事業チームは、調査担当者が窃取を確認する前にエスカレーション方針で合意しておくべきだ。

NSAの警告は、ソフトウェアの更新、メールサービスの監視、勧告の緩和策の適用を強調している。これらの手順は基準線であり、完全なセキュリティ戦略ではない。

長期的な防御では、レンダリングされたメールコンテンツに与える信頼を減らすべきである。また、コラボレーションサービスを分離し、アウトバウンド通信を制限し、機密性の高いアカウント操作を監視する必要がある。

組織には、脆弱性の見出し上のスコアだけでなく、悪用の証拠を反映するパッチプロセスが必要である。諜報価値の高いシステムでは、一見中程度に見えるバグでも緊急対応を要する場合がある。

セキュリティ責任者は、トレーニングで伝えるメッセージも慎重に見直すべきです。従業員は引き続き、不審なリンクや添付ファイルを避ける必要があります。しかし、ユーザーの注意だけで、あらゆるメール侵害を防げるかのように示唆することはやめなければなりません。

より正確なメッセージでは、責任を複数の層に分担します。ユーザーは異常を報告し、管理者はシステムにパッチを適用し、エンジニアは危険なレンダリングを制限し、対応チームはIDの持続的な悪用を調査します。

この共同責任モデルが重要なのは、LAUNDRY BEARが従業員との判断力の勝負に勝ったわけではないからです。組織が従業員に実行を求める通常の操作の最中に、ソフトウェアを悪用したのです。

したがってCISAのサイバーセキュリティ勧告は、すべてのZimbra運用者に緊急の問いを残します。チームは、サーバーにパッチが適用されたことを証明できるでしょうか。そして、攻撃者が先に侵入していなかったことを証明できるでしょうか。