ロシア連携攻撃グループTA488、ハーフクリックエクスプロイトでZimbraメールサーバを侵害

Proofpointのブログは、ロシアと連携する脅威アクターTA488（別名Void Blizzard、Laundry Bear）が「ハーフクリックエクスプロイト」と呼ばれる手口を用い、Zimbraメールサーバに対してゼロデイ脆弱性を悪用した侵害事例を取り上げている。

事案の詳細

今回の報告は、Proofpointのブログ連載の一つとして公開された内容で、攻撃主体としてロシアと連携するTA488が明示的に名指しされている。対象となったのはZimbra Collaboration Suite（ZCS）のメールサーバで、企業や組織の業務に直結するメール環境が侵害の舞台となった。Proofpointの分析によれば、TA488は2025年の少なくとも5か月間にわたり、当時未公表のZimbraの脆弱性を悪用してスパイ活動を継続していたとされ、この脆弱性はその後CVE-2025-66376として修正された。

記事タイトルが示す攻撃手口の中核は「ハーフクリックエクスプロイト」と呼ばれるクロスサイトスクリプティング（XSS）攻撃だ。これは、ユーザーがメールを開くだけでエクスプロイトが成立し、リンクのクリックや添付ファイルの開封といった追加操作やソーシャルエンジニアリングを必要としない点が特徴とされる。ZimbraのWebメール環境（Classic UI）に対してこのハーフクリック型のXSS手法が用いられたことが報告されており、攻撃者は被害者の認証済みセッション内で任意のJavaScriptコードを実行できる状態を作り出していた。

Proofpointの説明によれば、この攻撃により、ターゲットのメールボックスから最大90日分のメールや認証情報、資格情報などが盗まれ、メールボックスへの永続的なアクセスが確立される可能性があるとされている。一方で、公開情報からは、個々の侵害が発生した正確な日時や、個々のメールサーバへの侵入に至る詳細な技術的手順、影響を受けた組織数や具体的な業種、最終的に確認された情報流出の件数や被害規模など、定量的な詳細までは特定されていない。したがって本稿では、TA488によるZimbraメールサーバ侵害と、ゼロデイ脆弱性（CVE-2025-66376）を悪用したハーフクリックエクスプロイトという手口が用いられたという点を中心に事実を整理する。

影響と背景

Zimbraはメール基盤として広く利用される製品であり、侵害が起きた場合、業務連絡や対外的なメール対応など日常業務への影響が懸念される領域だ。今回の報告は、ロシアと連携する特定の攻撃グループTA488によるZimbraメールサーバ侵害が、少なくとも複数の組織で観測されたという警鐘であり、Webメール環境そのものが高度なスパイ活動の攻撃対象になり得ることを改めて示している。Proofpointや各国のサイバー当局の共同勧告では、TA488の活動目的が長期的なメール収集や監視にあるとされ、政府機関や企業などのメール通信が標的となっていることが指摘されている。

また、今回明らかにされたハーフクリックエクスプロイトは、従来のフィッシングと比べて利用者側の操作をほとんど伴わないため、ユーザー教育や注意喚起だけでは防ぎきれない性質を持つ。Webメールプラットフォームに対するXSSを悪用することで、メール閲覧という通常業務の行為を足掛かりに、認証トークンやメール内容、アドレス帳などが窃取されるリスクが高まる。もっとも、公開されている情報だけでは、どの地域・業界にどの程度の影響が及んだか、既知の他のロシア系グループによる同種事例との直接の関連があるか、といった点は詳細までは明らかにされていないか、もしくは一般公開されていないため、現時点で詳細は不明である。

対策・今後の展望

• メール基盤の運用状況の把握：自組織でZimbra（Zimbra Collaboration Suite）を利用しているか、管理主体が社内か委託先か、セキュリティアップデートやパッチ（CVE-2025-66376を含む）が適用済みか、最新版適用の方針がどうなっているかを棚卸しする。併せて、WebメールのUI構成や公開範囲を確認し、不要なコンポーネントや古いバージョンが残っていないか点検する。
• 侵害を前提にした監視：メール基盤で不審な挙動があった際に検知・調査できる体制（メールサーバおよびWebメールコンポーネントのログ保全、アラートの確認手順、インシデント対応の連絡先）を整える。特に、管理者アカウントによる通常と異なる時間帯・端末からのアクセス、Webメール経由での予期しないスクリプト実行や大量のメール取得・転送といった挙動に着目し、侵害を想定した監視ルールを設定する。
• 利用者への注意喚起：業務メールを起点にした攻撃が起こり得ることを共有し、操作を促す不審な案内（パスワード再入力依頼、設定変更要求、外部サイトへの誘導など）があれば即時に報告するルールを徹底する。ただし、今回のようなハーフクリックエクスプロイトでは「メールを開くだけ」で攻撃が成立するため、ユーザー教育に加えてサーバ側のパッチ適用やWebメール機能の保護（コンテンツセキュリティポリシーの強化、不要なスクリプト機能の制限など）が不可欠である。

CSRIからの現場アドバイス

【現場で何が起きているか】CSRIのMDR運用や診断の現場では、メール基盤や周辺サーバの「更新が止まっている」「管理者が不在で委託先任せ」といった状態が少なくありません。アラートとしては、普段使わない管理画面へのアクセスや、深夜帯の不審な通信が端緒になるケースが目立ちます。Zimbraのようなメール基盤にゼロデイ脆弱性が存在し、攻撃者に悪用されると、こうした兆候が侵害の初期サインとなる可能性があります。

【平易な解説】例えるなら、会社の郵便受け（メール）に鍵の弱点を突かれて侵入され、やり取りをのぞかれたり、別の郵便物を勝手に入れ替えられたりするようなものです。今回のTA488による攻撃では、郵便受けの扉を開けただけで鍵の弱点を突かれてしまうイメージに近く、つまり、メール基盤が狙われると、連絡の起点そのものが攻撃者の手に渡り得るということです。

【今週中にできること】まず自社がZimbraを使っているか、使っているなら管理画面の担当者と委託先窓口を確認してください。次に、CVE-2025-66376などZimbra関連の最新セキュリティアップデートが適用済みか、更新・点検の予定が今月中にあるかを担当者に必ず確認し、未定なら決めること。最後に、メールで操作を促す不審な案内は報告する、という一文を社内に周知し、Webメール環境が攻撃対象となり得ることを改めて共有しましょう。

参照: Proofpoint Blog 第59回 ロシア系攻撃グループTA488、ハーフクリックエクスプロイトでZimbraを侵害