VPS経由のSaaSアカウント侵害が急増中
フォレンジック調査の現場で、最近特に注意深く見ているのが仮想プライベートサーバ（VPS）を悪用したSaaSアカウント侵害です。Darktraceが2025年8月に発表した報告書によると、複数の企業でVPS経由の不審なログインが確認され、その後に巧妙な攻撃が展開されていることが判明しました。
この攻撃手法の恐ろしい点は、正規の通信に偽装しながら、地理的制御やIPレピュテーション検査を回避できることです。実際の調査現場では、「なぜこの時間にこの場所からログインがあったのか」という疑問から始まることが多いのですが、VPSを使われると追跡が困難になってしまいます。
攻撃者が好むVPSプロバイダーとその理由
今回の事例では、HyonixやHost UniversalといったVPSプロバイダーが悪用されていました。これらのサービスが攻撃者に選ばれる理由は明確です：
- 迅速な構築が可能：数分でサーバを立ち上げられる
- 低い情報露出：本人確認が緩い場合が多い
- 地理的制御の回避：世界各地のIPアドレスを使用可能
- 検知の困難さ：正規のビジネス利用と区別しにくい
フォレンジック調査では、攻撃者がこれらのVPSを「踏み台」として使い、最終的な攻撃対象に向けた準備を整えている様子がよく観察されます。特に、複数のVPSを同時に利用して攻撃の規模を拡大する手法が増えています。
SaaSアカウント侵害の具体的な手口
1. 初期侵入：VPS経由の不審ログイン
攻撃者はまず、何らかの方法で取得した認証情報を使ってVPS経由でSaaSアカウントにログインします。この段階では、以下のような特徴が見られます：
- 通常とは異なる地域からのアクセス
- 業務時間外のログイン
- 短時間での複数アカウントへのアクセス試行
2. 受信トレイルールの不正操作
侵入に成功すると、攻撃者は受信トレイルールを不正に作成・操作します。これにより：
- 特定の件名や送信者からのメールを自動的に削除
- 重要なセキュリティアラートを迷惑メールフォルダに移動
- フォレンジック調査を妨害するための証拠隠滅
3. フィッシング関連メールの隠蔽
最も巧妙なのが、フィッシングメールの痕跡を隠蔽する行為です。攻撃者は：
- 送信履歴からフィッシングメールを削除
- 被害者からの問い合わせメールを隠蔽
- セキュリティチームからの調査メールを妨害
実際のフォレンジック調査事例
先月対応した中小製造業の事例では、経理部門のアカウントが侵害され、取引先への偽の請求書送信が行われていました。調査の結果、攻撃者は海外のVPS経由でアクセスし、3週間にわたって巧妙に活動を続けていたことが判明しました。
この事例で特に印象深かったのは、攻撃者が毎回異なるVPSを使用し、ログイン時間も現地の業務時間に合わせていた点です。もしアンチウイルスソフト
による異常検知がなければ、さらに長期間気づかなかった可能性があります。
個人・中小企業が直面するリスク
VPSを悪用したSaaSアカウント侵害は、大企業だけの問題ではありません。むしろ、セキュリティ対策が手薄になりがちな個人や中小企業こそ、より深刻な被害を受けるケースが増えています。
典型的な被害例
- 個人事業主：クライアントとの重要なメールが削除され、契約に支障
- 小売店：顧客情報が漏洩し、信用失墜と損害賠償請求
- 士業事務所：機密情報の流出により、業務停止に追い込まれる
効果的な対策とセキュリティ強化策
1. 多要素認証（MFA）の徹底
すべてのSaaSアカウントで多要素認証を有効にすることは最低限の対策です。しかし、SMSベースのMFAは既に危険とされているため、アプリベースの認証器を使用することをお勧めします。
2. アクセスログの定期監視
定期的にログイン履歴を確認し、以下の点をチェックしましょう：
- 見慣れない地域からのアクセス
- 業務時間外のログイン
- 短時間での複数回のログイン失敗
3. VPN の活用
特に海外とのやり取りが多い企業では、VPN
を使用することで、攻撃者による地理的制御回避を防ぐことができます。また、通信の暗号化により、認証情報の盗聴リスクも軽減されます。
4. 受信トレイルールの定期確認
月に一度は受信トレイルールを確認し、身に覚えのないルールが作成されていないかチェックしてください。特に、以下のようなルールには注意が必要です：
- 特定のキーワードを含むメールの自動削除
- 外部からのセキュリティアラートの迷惑メール移動
- 管理者からの通知の自動アーカイブ
企業向け：包括的なセキュリティ対策
中小企業であっても、SaaSを業務で利用している以上、企業レベルでのセキュリティ対策が必要です。
Webサイト脆弱性診断サービス の重要性
Webアプリケーションの脆弱性は、しばしばSaaSアカウント侵害の入り口となります。Webサイト脆弱性診断サービス
を定期的に実施することで、攻撃者が悪用する可能性のある脆弱性を事前に発見し、対処することができます。
インシデント対応計画の策定
VPS経由の攻撃が発見された場合の対応手順を事前に決めておくことが重要です：
- 疑わしいアカウントの即座な無効化
- 関連するすべてのアクセスログの保全
- 影響範囲の特定と関係者への通知
- フォレンジック調査の実施検討
最新の脅威動向と今後の展望
VPS悪用による攻撃は今後も増加が予想されます。特に、AI技術の発展により、攻撃者はより巧妙で大規模な攻撃を仕掛けてくる可能性があります。
フォレンジック調査の現場では、従来の「点」での防御から、「面」での包括的なセキュリティ対策への移行が急務となっています。個人や中小企業であっても、複数のセキュリティツールを組み合わせた多層防御が必要な時代になりました。
まとめ：今すぐ実施すべき対策
VPS悪用によるSaaSアカウント侵害は、もはや「他人事」ではありません。今日からでも実施できる対策を以下にまとめました：
- 緊急度：高 – 全SaaSアカウントでMFAを有効化
- 緊急度：高 – アンチウイルスソフト
の導入検討 - 緊急度：中 – アクセスログの定期確認体制構築
- 緊急度：中 – VPN
の利用検討
- 緊急度：低 – Webサイト脆弱性診断サービス
の実施検討
サイバー攻撃による被害は、事業継続に直接影響を与える深刻な問題です。「うちは狙われない」という油断が、取り返しのつかない被害につながることを、フォレンジック調査の現場で数多く見てきました。
今回の Darktrace の報告は、VPS悪用という新たな脅威に対する警鐘です。適切な対策を講じることで、あなたの大切なデジタル資産を守ることができます。
