メールサーバーのセキュリティに関わる深刻な脅威が現実のものとなりました。Zimbra Collaboration Suite（ZCS）の脆弱性「CVE-2025-27915」を悪用した攻撃が実際に発生し、米CISAがKnown Exploited Vulnerabilities（KEV）カタログに緊急追加する事態となっています。
フォレンジック調査の現場では、この手の攻撃による被害が後を絶ちません。特に中小企業では、メールシステムが乗っ取られることで顧客情報や機密データが根こそぎ持ち出されるケースを多数目撃してきました。
攻撃者の巧妙な手口を徹底解析
今回の攻撃で使われた手法は、従来のメール攻撃とは一線を画す巧妙さを持っています。攻撃者は以下のような段階的なアプローチを取っています：
1. 偽装メールとICSファイルによる初期感染
攻撃の起点は、一見無害に見える会議招待メールです。添付されたICS（カレンダー）ファイルには、Base64でエンコードされた悪性スクリプトが仕込まれており、ファイルを開いた瞬間に感染が始まります。
私が調査した事例では、「四半期業績報告会議のご案内」といった件名で送られてきたメールにより、経理部門のPCが感染したケースがありました。受信者は何の疑いも持たずにカレンダーに追加してしまったのです。
2. 遅延実行による検知回避
特に悪質なのは、スクリプトが約60秒の遅延を設けてから動作を開始する点です。この時間差により、セキュリティソフトのリアルタイム検知を回避し、ユーザーが異常に気づく前に攻撃を完遂させます。
3. 認証情報の巧妙な窃取
感染後、スクリプトは以下の手順で認証情報を窃取します：
- ログインフォームに不可視の入力欄を密かに追加
- 表示要素を隠して痕跡を目立たなくする
- ユーザーがログインする度に認証情報を収集
- 3日おきに収集処理を繰り返し継続的にデータを持ち出す
実際の被害事例と企業への影響
フォレンジック調査で明らかになった実際の被害パターンをご紹介します。
中小製造業A社のケース
従業員50名の製造業では、営業部門のメールアカウントが乗っ取られ、約2週間にわたって顧客情報や見積書が外部に送信され続けていました。「Correo」という不自然な名前のメール転送フィルタが設定されており、全ての重要メールがProtonのアドレスに自動転送されていたのです。
被害総額は情報漏洩対応費用だけで500万円を超え、取引先からの信用失墜により売上も大幅に減少しました。
士業事務所B社のケース
税理士事務所では、顧客の財務情報が含まれたメールが攻撃者の管理するサーバー（ffrk[.]net配下）に送信されていました。連絡先リストや共有フォルダの内容も系統的に収集されており、組織的な情報窃取の痕跡が明確でした。
今すぐ実施すべき対策
緊急度：最高
ZCS 9.0.0 P44、10.0.13、10.1.5以降への即座のアップデートが必要です。米連邦機関では10月28日までの修正適用が義務化されており、日本企業も同様の緊急度で対応すべきです。
メールフィルタの確認
以下の項目を確認してください：
- 不審な自動転送ルールの設定
- 「Correo」など不自然な名前のフィルタ
- Protonメールなど外部サービスへの転送設定
- 送信者 193.29.58.37 からのメールの受信履歴
セキュリティ強化のための追加施策
企業の情報資産を守るためには、多層防御の考え方が重要です。メールセキュリティの強化には、信頼性の高いアンチウイルスソフト
の導入が効果的です。また、外部からの不正アクセスを防ぐために、セキュアなVPN
の利用も検討しましょう。
Webベースのメールシステムを運用している企業では、定期的なWebサイト脆弱性診断サービス
により、未知の脆弱性を事前に発見することが重要です。
フォレンジック調査で見えた攻撃者の正体
今回の攻撃については、特定の国家やグループへの断定的な帰属は避けられているものの、いくつかの特徴が注目されます：
- ZimbraやRoundcubeなどのオープンソースソフトウェアを標的とする高度な技術力
- ゼロデイ脆弱性を実運用環境で武器化する能力
- 過去の類似事例との戦術的共通点
これらの要素から、相当なリソースと技術力を持つ組織的な攻撃グループの関与が疑われています。
まとめ：組織の情報資産を守るために
今回のZimbra脆弱性を悪用した攻撃は、メールシステムの重要性と脆弱性対策の緊急性を改めて浮き彫りにしました。攻撃者の手法は日々巧妙化しており、従来の対策だけでは十分ではありません。
組織としては、迅速なパッチ適用、多層防御の構築、そして定期的なセキュリティ診断により、情報資産を守る体制を整えることが急務です。一度データが漏洩すれば、その影響は計り知れません。今こそ、本格的なサイバーセキュリティ対策に投資する時期と言えるでしょう。
一次情報または関連リンク
Zimbra Collaboration Suite（ZCS）に確認されたクロスサイトスクリプティング（XSS）のゼロデイ脆弱性「CVE-2025-27915」
