ロシアのスパイがZimbraのゼロデイ脆弱性を悪用し2FAコードを盗む

CVE-2025-66376 とは何か、そしてどのように悪用されたか

ロシア国家に関連するスパイグループが、Zimbra Collaboration Suite の未知の脆弱性（CVE-2025-66376）を悪用し、西側組織から密かにメールデータを吸い上げていました。このキャンペーンの報告によると、攻撃者はこの脆弱性を利用して、最大90日分のメール履歴、保存されたパスワード、二要素認証（2FA）コード、組織のディレクトリ情報を引き出しました。

Zimbra は、政府機関、大学、企業で広く利用されているメールおよびコラボレーションプラットフォームであり、Microsoft や Google のホスト型スイートの代替を求める組織に人気です。その人気ゆえ、格好の標的にもなります。自己ホスト型メールサーバーの未修正の脆弱性が一つあれば、悪用の連鎖によって何年分もの組織の通信が露呈する可能性があります。ゼロデイ脆弱性、つまり Zimbra にとって未知で悪用時点ではパッチが存在しなかったため、攻撃が始まるまで防御側が頼れるシグネチャやパッチはありませんでした。

狙われた2FAコードとメールアーカイブの重要性

これは単なる認証情報漏洩をはるかに超える Zimbra のゼロデイスパイ侵害です。多くの侵害はスナップショット、つまりパスワードのダンプ、ユーザー名のリスト、あるいはセッショントークン程度のものを露出させます。今回のキャンペーンは、実際のメールコンテンツの直近90日分という継続的なウィンドウを取得したと報じられており、リスクの質がまったく異なります。90日分のメールには、契約交渉、内部ポリシーに関する議論、出張計画、法務関連のやり取り、部外者に閲覧されることを想定していない個人情報が含まれている可能性があります。

2FAコードの盗難は、セキュリティチームが最も懸念すべき部分です。二要素認証は、しばしば最後の安全策として扱われます。パスワードが漏れても攻撃者を阻止する手段です。しかし、侵害されたメールサーバーから直接2FAコードを傍受・収集できるのであれば、その安全策は事実上無効になります。盗まれたパスワードやディレクトリデータ（組織構造、役職、指揮命令系統がわかる）と組み合わされば、攻撃者は内部の実態を踏まえて横展開したり、職員になりすましたり、巧妙なフィッシングキャンペーンを仕掛けたりするのに必要なすべてを手に入れることになります。

より広範なパターン：西側のメールインフラを狙う国家支援グループ

この事例は孤立したものではありません。メールサーバーは、組織の信頼の中枢に位置するため、国家の支援を受けた攻撃者の標的となってきました。メールプラットフォームはユーザーを認証し、機密性の高い通信を保存し、他の内部システムと統合されていることが多いからです。メールサーバーへのただ一度の足がかりが、より広範な侵害に波及する可能性があるのです。

このパターンは、西側の情報機関が近年ますます声高に警告している全体像に当てはまります。GCHQの長官は最近、重要インフラや民主的な機関を標的とするロシアの執拗なサイバー作戦について公に警告し、孤立した事件ではなく、ほぼ恒常的なハイブリッド攻撃のテンポを説明しました。このZimbraのゼロデイスパイ侵害はそのメッセージを裏付けるものです。これは日和見的な一撃ではなく、長期にわたって西側の通信システムから諜報価値を引き出そうとする、意図的で持続的な取り組みだったのです。

露出を減らすための実践的な対策

良いニュースは、個人も組織も無力ではないということです。以下の具体的な手順を踏めば、この種の攻撃に対する露出を有意に減らせます。

• 速やかにパッチを適用し、ベンダーのアドバイザリを監視する。 ゼロデイは定義上、当初はパッチがありませんが、修正がリリースされた後も、遅延したパッチ適用が古いエクスプロイトが開示後も長く機能し続ける最も一般的な理由の一つです。
• 可能な限り、機密性の高い通信を暗号化メールに移行する。 標準的なメールサーバーは、サーバー自体が侵害されると読み取り可能な形でコンテンツを保存します。エンドツーエンドの暗号化オプションは、侵害後でも攻撃者が実際に読める情報を制限します。
• メールやSMSで送信される2FAコードは、アプリベースやハードウェアベースの認証よりも弱いとみなす。 可能であれば、認証アプリや物理的なセキュリティキーを使用してください。これらはメールサーバー自体には保存されません。
• 認証情報の露出を監視する。 組織の認証情報が侵害データに現れていないか定期的に確認することで、さらに悪用される前に侵害を発見できることがあります。
• ネットワークレベルでメールインフラをセグメント化し監視する。 ファイアウォール、侵入検知、メールサーバー周りの厳格なアクセス制御は、ゼロデイが悪用された場合の被害範囲を縮小します。

これがあなたにとって意味すること

あなたの組織がZimbraや他の自己ホスト型メールプラットフォームを運用しているなら、この侵害は、メールサーバーが他のあらゆる重要システムと同様のセキュリティ精査に値するものであり、IT運用に付け足された後回しにされるべきではないことを思い出させてくれます。大企業以外の個人も留意すべきです。メールプラットフォーム自体が侵入経路になる場合、2FAだけでアカウントが安全だという前提はもはや成り立ちません。2FAコードがどこに配信されているか、メールプロバイダーが強固なパッチ適用実績を持っているかを確認することは、今日どのユーザーでも取れる合理的で手間のかからない対策です。

重要なポイント

Zimbraのゼロデイスパイ侵害は、盗まれたメールアーカイブと傍受された2FAコードが、適切に構成されたセキュリティ体制さえも揺るがしうることを示しています。パッチ管理、より強力な認証方法、ネットワークレベルの監視が依然として最も信頼できる防御策です。西側当局が重要インフラに対するロシアの持続的なサイバー活動を引き続き警告するなか、これらのキャンペーンについて情報を得て、上記の実践的な対策を講じることが、次の開示に先手を打つ最も効果的な方法の一つです。