APT29ウォータリングホール攻撃：初心者向けセキュリティガイド

APT29ウォータリングホール攻撃：初心者向けセキュリティガイド

APT29（Cozy Bear）の攻撃手法と防御策をわかりやすく解説。2025年のAIフィッシング動向も紹介。

攻撃の概要

APT29（Cozy Bear）は、ロシアの対外情報庁（SVR）と関係があるとされる国家支援型ハッカー集団政府の支援を受けて活動するサイバー攻撃グループです。政府機関、企業、研究機関を標的とし、機密情報を盗むスパイ活動を行います。2020年のSolarWinds攻撃では、ソフトウェア更新を通じて約18,000組織に影響を与え（出典：CrowdStrike 2021 Report）、2025年現在もMicrosoft 365を悪用した攻撃を継続しています。

今回のウォータリングホール攻撃は、信頼できるウェブサイトを改ざんしてユーザーを偽のMicrosoftログイン画面に誘導する手法です。攻撃の目的は、デバイスコード認証アプリやデバイスをMicrosoftアカウントに連携させる仕組みを悪用し、アカウント情報を盗むことです。これにより、内部ネットワークへの不正アクセスやデータ漏洩が発生します。重要なのは、信頼できるサイトでも改ざんされる可能性がある点です。

2025年の最新動向では、AI生成のフィッシングメール（例：ChatGPTで作られた自然な文面）やディープフェイク音声が組み合わさり、攻撃の成功率を高めています（出典：Mandiant 2025 Threat Trends）。初心者は、いつも使うサイトでもURLや挙動を常に確認する必要があります。

攻撃の流れ

ステップ内容攻撃者の目的ユーザーの誤認ポイント
① サイト改ざん 正規サイト（例：企業ポータル）に悪意あるJavaScriptコードを埋め込む ユーザーを偽サイトに誘導する準備 信頼できるサイトと思い込む
② リダイレクト ユーザーが訪問すると、偽のMicrosoftログイン画面に自動転送される 認証情報を入力させる ページ遷移に気づかない
③ 認証情報の入力 ユーザーがデバイスコードを入力すると、攻撃者の端末が認証される 認証情報を盗む 本物のMicrosoft画面と思う
④ システム侵入 攻撃者が認証済みの情報を使って内部ネットワークにアクセスする 機密情報やシステムの乗っ取り 不正アクセスに気づかない

技術の仕組み

APT29は高度な技術を組み合わせて攻撃を実行します。以下は、初心者向けに主要な手法を分解し、見抜き方と気づきにくい理由を添えたものです。

技術説明見抜き方気づきにくい理由コード例
JavaScriptリダイレクト 改ざんされたサイトに埋め込まれたコードで、自動で偽サイトに飛ばす。 URLが急に変わったら疑う。アドレスバーを確認。 転送が一瞬で完了し、正規サイトにいる感覚のまま。 window.location.href="https://malicious.com";
Cookie制御 一度だけリダイレクトし、痕跡を隠す。Cookieは閲覧履歴を保存するデータ。 不自然なページ遷移を記録。Cookie設定をチェック。 一度だけの挙動で、通常の操作と区別しにくい。 document.cookie="redirected=true; max-age=0";
Base64隠蔽 攻撃コードをBase64（暗号化形式）に変換して隠す。 開発者ツール（F12）でeval(atob(...))を探す。 コードが意味不明な文字列に見え、攻撃と気づけない。 eval(atob("d2luZG93LmxvY2F0aW9uLmhyZWY9Imh0dHBzOi8vbWFsaWNpb3VzLmNvbSI="));
デバイスコード認証の悪用 偽のMicrosoftログイン画面でコード入力を促し、認証情報を盗む。 認証画面の出所（どのアプリか）を確認。 画面が本物のMicrosoftそっくりで、区別しにくい。 （画面例）「アプリ連携のためコードXXXX-XXXXを入力」

理解度をチェック

偽装テクニック

APT29は本物そっくりの偽装でユーザーを騙します。以下は、主要な手法と安心してしまうポイントです。

テクニック説明対処法安心してしまうポイント具体例
Cloudflare風UI Cloudflare（ウェブ保護サービス）の認証画面そっくりに偽装。 URLをダブルチェック。cloudflare.com以外は疑う。 Cloudflareの信頼性や見た目の完成度。 偽URL：cloudflare-login.com
HTTPS鍵マーク 鍵マーク（SSL証明書）で安全に見せかける。 証明書の発行元（例：DigiCert）を確認。 鍵マーク＝安全という誤解。 無料証明書「Let's Encrypt」を悪用。
本物風の文言 「24時間以内に認証してください！」など、緊急性を煽る。 急かす通知は疑う。公式サイトで確認。 公式っぽい文言で焦ってしまう。 メール：「今すぐログインしないとアカウント停止！」
一度だけの挙動 初回アクセス時だけ偽サイトにリダイレクト。 ページ遷移の履歴を記録。Cookieをチェック。 一度だけで「バグかな？」と見過ごす。 初回訪問時のみ偽サイトに飛ぶ。

初心者が騙されやすいポイント

見た目実際注意点
HTTPS鍵マーク 誰でも取得可能なSSL証明書（例：Let's Encrypt）を使用 鍵マークだけでなく、証明書の発行元を確認
Cloudflare風UI 偽装された偽サイト（例：cloudflare-login.com） URLがcloudflare.comか厳密にチェック
Microsoftロゴ 本物のロゴをコピーした偽ログイン画面 URLがlogin.microsoftonline.comか確認
緊急通知文言 「今すぐログイン！」など、焦りを煽る偽メッセージ 公式サイトで通知を再確認。急かされても慌てない

防御策チェックリスト

以下の対策を習慣化すれば、APT29の攻撃から身を守れます。初心者でも簡単に実行可能です。

対策状態なぜ重要？
URLの確認 ✅ 偽サイトはURL（例：micr0soft.com）が異なる。
認証画面の出所確認 ✅ 偽のアプリ連携画面で認証情報を盗まれるのを防ぐ。
二段階認証の導入 ✅ パスワード盗難後も不正アクセスを防止（95%削減、NIST 2023）。
通知の再確認 ✅ 不審なログインを早期に検知。
拡張機能の活用 ✅ 悪意あるスクリプトをブロック。
異常挙動の記録 ✅ 攻撃の痕跡を追跡し、早期対応可能。

セキュリティ習慣をチェック

自分のセキュリティ習慣をチェックしよう

あなたはこの攻撃に引っかかる可能性があるか？以下のチェックリストで確認しましょう。

行動

  • URLを毎回確認している（例：login.microsoftonline.comかチェック）
  • 認証画面の出所を確認している（どのアプリが要求しているか見ている）
  • セキュリティ通知を公式サイトで再確認している（メールを信用しない）
  • 異常なページ遷移を記録している（履歴やCookieをチェック）
  • 不審なメールのリンクをクリックしない

設定

  • 二段階認証を設定している（Microsoft Authenticatorなどを使用）
  • ブラウザ拡張機能を使っている（例：uBlock Originでスクリプトをブロック）
  • 強力なパスワードを設定し、定期的に変更している
  • セキュリティソフトを導入している（例：アンチウイルスソフト）
  • ブラウザの自動更新を有効にしている

意識

  • HTTPS鍵マークは安全の証ではないと理解している
  • 正規サイトでも改ざんされる可能性を認識している
  • Cloudflare風UIやMicrosoftロゴを信用しない
  • 緊急通知文言に慌てず公式確認する習慣がある
  • AI生成メールの自然な文面に警戒している

防御策を再確認

初心者向けまとめ：何が危険だったのか？

APT29の攻撃は、信頼できるウェブサイトを改ざんして偽のログイン画面に誘導する手口です。たとえば、企業の公式サイトが本物そっくりの偽サイトにあなたを飛ばし、パスワードや認証コードを盗みます。鍵マーク（HTTPS）でも偽サイトは存在するので、URLを必ず確認しましょう。2025年にはAI生成の自然なメールで騙す手口も増えています（Mandiant 2025）。二段階認証や公式サイトでの確認で防げます！

初心者向け復習ポイント

  • URLを毎回確認する（例：login.microsoftonline.com）
  • HTTPS鍵マークを信用しない
  • 認証画面の出所を確認する
  • 二段階認証（アプリ推奨）を設定する
  • 急かす通知は公式サイトで確認する
  • 異常なページ遷移を記録する

クイズで理解を深める

上級者向けまとめ：技術的な構造と突破点

APT29は正規サイトにJavaScriptリダイレクト（window.location.href）やBase64隠蔽（eval(atob(...))）を埋め込み、偽のMicrosoft認証画面でデバイスコードを盗みます。Cookie制御で痕跡を隠し、Cloudflare風UIやLet's EncryptのSSL証明書で信頼性を偽装。盗んだ認証情報でC2通信を行い、ネットワークを操作します。2025年にはAI生成メールやディープフェイク音声で誘導を強化（Mandiant 2025）。防御には開発者ツールでのコード検査やトラフィック監視が有効です。

上級者向け復習ポイント

  • eval(atob(...))を開発者ツールで検出
  • Cookie制御（例：redirected=true）を監視
  • デバイスコード認証のアプリ名を厳密に確認
  • トラフィック監視で異常通信を検知
  • スクリプト実行をセキュリティソフトで制限

クイズで理解を深める

理解度チェッククイズ

以下の質問で、APT29の攻撃と防御策の理解度を確認しましょう！

  • ❓ Q1: APT29のウォータリングホール攻撃の最初のステップは？

    • 偽メールの送信
    • 正規サイトの改ざん
    • パスワードの直接盗難
    ✅ 正解：正規サイトの改ざん。攻撃者は信頼できるサイトに悪意あるコードを埋め込みます。

  • ❓ Q2: 偽装URLの例として正しいものは？

    • cloudflare.com
    • cloudflare-login.com
    • login.microsoftonline.com
    ✅ 正解：cloudflare-login.com。偽装URLは本物に似せた紛らわしいものを使用します。

  • ❓ Q3: HTTPS鍵マークは安全の証か？

    • はい、常に安全
    • いいえ、証明書の発行元を確認する必要がある
    ✅ 正解：いいえ。SSL証明書は誰でも取得可能で、鍵マークだけで安全とは限りません。

  • ❓ Q4: 最も効果的な防御策は？

    • パスワードを長くする
    • 二段階認証を設定する
    • メールをすぐに開く
    ✅ 正解：二段階認証を設定する。不正アクセスを95%削減（NIST 2023）。

  • ❓ Q5: AI生成メールの特徴は？

    • 不自然な文面でわかりやすい
    • ChatGPTなどで作られた自然な文面
    ✅ 正解：自然な文面。2025年以降、AI生成メールが増加（Mandiant 2025）。

  • ❓ Q6: Base64隠蔽の目的は？

    • データを暗号化して隠す
    • ページのデザインを変更
    • 通信速度を上げる
    ✅ 正解：データを暗号化して隠す。攻撃コードを隠すために使われます。

  • ❓ Q7: C2通信とは何か？

    • 攻撃者がシステムを遠隔操作する通信
    • ユーザー間のチャット通信
    • サイトの表示を高速化する技術
    ✅ 正解：攻撃者がシステムを遠隔操作する通信。指令基地のような役割です。

  • ❓ Q8: ウォータリングホールの意味は？

    • メールを使った攻撃
    • 信頼できるサイトを改ざんする攻撃
    • パスワードを直接盗む攻撃
    ✅ 正解：信頼できるサイトを改ざんする攻撃。標的が集まるサイトを狙います。

  • ❓ Q9: JavaScriptリダイレクトの見抜き方は？

    • URLの急な変化をチェック
    • ページの色を確認
    • メールの送信元を調べる
    ✅ 正解：URLの急な変化をチェック。アドレスバーを常に確認しましょう。

  • ❓ Q10: Cookie制御の特徴は？

    • 一度だけのリダイレクト
    • ページのデザイン変更
    • 高速通信技術
    ✅ 正解：一度だけのリダイレクト。痕跡を隠すために使われます。

  • ❓ Q11: デバイスコード認証の悪用方法は？

    • 偽画面でコード入力を促す
    • 直接パスワードを盗む
    • サイトを閉鎖する
    ✅ 正解：偽画面でコード入力を促す。認証情報を盗む手口です。

  • ❓ Q12: Cloudflare風UIの対処法は？

    • URLをダブルチェック
    • ロゴの色を確認
    • メールで確認
    ✅ 正解：URLをダブルチェック。cloudflare.com以外は疑いましょう。

  • ❓ Q13: 緊急通知文言への対処法は？

    • 公式サイトで確認
    • すぐにクリック
    • メールを保存
    ✅ 正解：公式サイトで確認。急かされても慌てないでください。

  • ❓ Q14: 二段階認証の効果は？

    • 不正アクセスを95%削減
    • サイトの表示を高速化
    • パスワードを不要にする
    ✅ 正解：不正アクセスを95%削減（NIST 2023）。強力な防御策です。

  • ❓ Q15: トラフィック監視の目的は？

    • 異常な通信を検知
    • サイトのデザイン確認
    • メールの送信速度向上
    ✅ 正解：異常な通信を検知。C2通信などを発見できます。

  • ❓ Q16: Base64隠蔽を検出する方法は？

    • ページの色を確認
    • 開発者ツールで eval(atob(...)) を探す
    • メールの送信元をチェック
    ✅ 正解：開発者ツールで eval(atob(...)) を探す。Base64はコードを隠すために使われます。

  • ❓ Q17: C2通信の役割は？

    • サイトの高速化
    • 攻撃者が遠隔でシステムを操作
    • ユーザー認証を強化
    ✅ 正解：攻撃者が遠隔でシステムを操作。C2は指令基地のような役割です。

  • ❓ Q18: 偽装UIでよく使われるデザインは？

    • Cloudflare風UI
    • 個人ブログのデザイン
    • ゲーム画面
    ✅ 正解：Cloudflare風UI。本物そっくりの偽装画面に注意。

  • ❓ Q19: トラフィック監視で検知できるものは？

    • サイトの色変更
    • 異常な通信（例：C2通信）
    • パスワードの強度
    ✅ 正解：異常な通信（例：C2通信）。ネットワーク監視で攻撃を検知します。

  • ❓ Q20: 署名偽装の目的は？

    • ソフトウェアを本物に見せる
    • 通信速度を上げる
    • ページデザインを変更
    ✅ 正解：ソフトウェアを本物に見せる。信頼を悪用して攻撃します。

防御策を再確認

用語解説

このレポートで使われる専門用語を、初心者向けにわかりやすく解説します。

ウォータリングホール
動物が水飲み場に集まるように、標的がよく訪れるウェブサイトを改ざんして攻撃する手法。
デバイスコード認証
Microsoftアカウントにアプリやデバイスを連携させるための認証方式。コード入力でログインを許可。
C2通信（コマンド＆コントロール）
攻撃者が盗んだ情報を使って、遠隔でシステムを操作するための通信。指令基地のようなもの。
Base64
データを暗号化して文字列に変換する形式。攻撃コードを隠すために使われることが多い。
フィッシング
偽のメールやウェブサイトで個人情報（パスワードなど）を盗む攻撃手法。
HTTPS
ウェブサイトの通信を暗号化する技術。鍵マークで表示されるが、偽サイトでも使用可能。
eval
JavaScriptで文字列をコードとして実行する機能。悪意あるコードの隠蔽に使われる。
atob
Base64でエンコードされた文字列をデコードするJavaScript関数。攻撃コードの復元に使用。
署名偽装
本物のソフトウェアやメールに見せかけて偽装する手法。信頼を悪用する。
Cloudflare UI
Cloudflareの認証画面を模倣した偽装デザイン。ユーザーを安心させて情報を盗む。
Cookie制御
閲覧履歴を保存するデータを操作し、一度だけの攻撃挙動を実現する技術。
JavaScriptリダイレクト
ウェブページを自動で別のサイトに転送するコード。偽サイトへの誘導に使われる。
二段階認証
パスワードに加えて別の認証（例：アプリのコード）を必要とするセキュリティ対策。
OGP（Open Graph Protocol）
ウェブページの情報をSNSで適切に表示するための設定。共有時の見た目を整える。
APT（Advanced Persistent Threat）
高度で持続的なサイバー攻撃。国家支援型や組織的な攻撃を指す。
国家支援型
政府や国家機関の支援を受けたハッカー集団による攻撃。APT29はこれに該当。
認証誘導
偽のログイン画面でユーザーに認証情報を入力させる攻撃手法。
URL偽装
本物のURLに似せた偽のURL（例：micr0soft.com）でユーザーを騙す。
SSL証明書
HTTPSを実現する証明書。安全性を示すが、無料のもの（例：Let's Encrypt）は悪用されることも。
トラフィック監視
ネットワーク通信を監視して異常（例：C2通信）を検知するセキュリティ対策。

クイズで理解を深める

よくある質問（FAQ）

初心者が抱きやすい疑問に、簡潔に答えます。これで不安を解消しましょう。

  • Cloudflareって安全じゃないの？
    本物のCloudflareは安全だが、見た目だけ似せた偽装画面（例：cloudflare-login.com）に注意。URLをチェック。
  • HTTPSの鍵マークがあるのに危険なの？
    SSL証明書は誰でも取得可能。鍵マークだけで安全とは限らず、証明書の発行元を確認。
  • Microsoftの画面が本物に見えたけど？
    UIは模倣可能。URL（microsoft.com）とアプリ名を必ず確認。
  • 一度だけ変なページに飛ばされたけど問題ない？
    一度だけのリダイレクトは痕跡を隠す手法。履歴やCookieを記録し、確認。
  • AI生成メールって何？
    ChatGPTなどで作られた自然な文面のフィッシングメール。2025年以降増加（Mandiant 2025）。公式サイトで確認。

クイズで理解を深める

2025 xAI Security Education | サイバーセキュリティをわかりやすく