OAuthリダイレクト悪用でマルウェア配布が加速：政府・公共機関を狙う最新フィッシングの手口と防御策

正規のログイン画面を一瞬だけ見せ、「本物に見える」導線のまま攻撃者サイトへ誘導する──。OAuthの認証リダイレクト機構が悪用され、従来のメール／ブラウザ防御をすり抜けやすいフィッシングとマルウェア配布が広がっています。この記事では、攻撃の流れを“被害者視点”で分解し、なぜ検知が難しいのか、組織と個人が今日から取れる対策を具体的に整理します。

OAuthリダイレクト悪用でマルウェア配布が加速：政府・公共機関を狙う最新フィッシングの手口と防御策

何が起きているのか：信頼の「ログイン導線」が攻撃に転用される

OAuthは、MicrosoftやGoogleなどのID基盤を使ってサインインし、認証後に「許可されたアプリ」に自動で戻るための仕組みです。利用者にとっては日常的で、違和感が出にくい“信頼された動線”になっています。

今回の手口のポイントは、この「正規ログインページ → アプリへ戻る」という流れを、攻撃者が都合よくねじ曲げることにあります。ユーザーは確かに一度は本物の認証ページに到達します。しかし、その直後に“仕様上のリダイレクト”を利用して、攻撃者が用意したインフラへ送られ、資格情報の窃取やマルウェア配布へつながります。

被害者視点で見る攻撃の流れ：本物を踏ませてから騙す

攻撃は、見た目が整ったメールから始まります。典型は次の2パターンです。

ログインページへのリンクが本文にあり、Microsoft／Googleのログインに見えるURLへ誘導される
PDF添付があり、PDF内のリンクをクリックするとログインに進む（「請求書」「録画」「報告書」などの文脈でクリックさせる）

クリックすると、最初に到達するのは確かに“正規ドメイン上のOAuthサインインページ”です。URLもそれらしく、デザインも普段見慣れたものなので、利用者は安心しやすい。ところが数秒後、ブラウザは自動的に次のページへ飛びます。ここが攻撃者のサイトです。

その先で起こることは、キャンペーンの型によって分かれます。

偽ログイン画面：非常に精巧なページでID／パスワード、場合によってはMFAに関わる情報やセッションに関するデータを狙う
自動ダウンロード型：ZIPアーカイブやショートカット（.lnk）などを“資料”に見せて落とし、実行させて感染へ

「本物のログイン画面を見た」という体験が強い分、利用者はその後の遷移を疑いにくいのが厄介です。

どこが悪用されるのか：OAuthの“エラー時リダイレクト”が鍵

OAuthには、認可要求を処理できない場合に、登録済みのリダイレクト先へ戻すエラー処理の挙動があります。攻撃者はここを突きます。

具体的には、認可リクエストのパラメータをわざと不正にして、正常な認証フローが成立しない状況を作ります。たとえば、

成立しえないスコープの指定
成功しない「サイレント認証」を要求するような指定

など、処理側が“エラーとして返すしかない”形に誘導します。すると、IDプロバイダは標準的なエラーハンドリングとして、登録済みリダイレクトURIへ遷移します。ここに攻撃者が管理するリダイレクト先が含まれている（または攻撃者が用意したアプリ／設定を介して成立している）と、利用者は正規ページから攻撃者サイトへ、ほぼ違和感なく運ばれます。