CAPTCHAを悪用してハッキングするグループをMicrosoftのセキュリティ対策チームが発見し、同チームの公式Twitterにて公表した。

　Microsoftは以前より、悪意のあるExcelファイルを配布しているハッカーグループを追跡していた。その1つである「CHIMBORAZO」というハッカーグループの手口が今回明らかになったようだ。

　CHIMBORAZOは、悪意のあるマクロを含んだExcelファイルの悪用を常とう手段としている。悪意のあるマクロというのは、有効にした途端にユーザーの個人情報やPC内の機密情報を盗むトロイの木馬「GraceWire」をインストールし実行するというものだ。

　従来、CHIMBORAZOはフィッシングメールにそのExcelファイルを添付して送りつけ、無防備なユーザーにマクロを有効にさせる手法をとっていた。セキュリティ対策ソフトなどである程度の備えをしているユーザーなら、Excelファイルを開こうとしたとき、またはマクロを有効にしようとしたときに警告が表示され、被害はそれほど大きくない。しかし彼らは、その手法をここ数週間で変化させているのだという。

　CHIMBORAZOの新たな手段は、本文にフィッシングサイトへのリンクを埋め込んだメールや、フィッシングサイトへリダイレクトするコードを含んだHTMLファイルを添付したメールをユーザーに送りつけるというもの。そしてユーザーがアクセスさせられたWebサイトには、冒頭で触れたようなCAPTCHAが用意されている。

　ユーザーがこのCAPTCHAに素直に回答することにより、例の悪意あるマクロを含んだExcelファイルがダウンロードされる。結局ダウンロードするなら、「セキュリティ対策ソフトが反応するのでは」と思うが、そうではない。

　普段であれば怪しいファイルをダウンロードしたとき、セキュリティ対策ソフトやWebブラウザが自動検出によって脅威を察知する。しかしCAPTCHAを経てからダウンロードした場合、その自動検出機能が回避されるケースがあるのだという。

　Microsoftの研究チームによれば、reCAPTCHA自体になりすますというような攻撃手段は以前からあるが、CAPTCHAの認証で自動検出を回避する攻撃手段は珍しいとのこと。今後はセキュリティ対策ソフトやWebブラウザによって何らかの対抗手段が取られると予想されるが、正式なアナウンスがあるまでは、謎のCAPTCHAには注意していただきたい。

---

上司X：　「CAPTCHA」を悪用するハッキング手段が見つかった、という話だよ。

ブラックピット：　攻撃者はなぜわざわざそういうことを思い付くんですかねえ。

上司X：　わざわざというか、そういう攻撃を日々こなしているんだろう……。あの手この手を考えてるだろうよ、ハッカー集団も。

ブラックピット：　なんだかハッカー集団の味方みたいですね？

上司X：　いやいや、まったくそんなことはないよ。

ブラックピット：　CAPTCHA、たまにイラッとすることはありますけどね。でもそれを悪用するのはやり口が汚いです。

上司X：　確かにな。CAPTCHAが備わってると、そのWebページもなんとなく信用してしまう気がする。そしてCAPTCHAに反応するって手間が油断を生むのかもな。

ブラックピット：　ところでハッカー集団の名前「CHIMBORAZO」ってのは、アンデス山脈にある火山の名前ですね。どういう意図なんだろう。

上司X：　相変わらず雑学知識はあるんだな……。それは置いておくとして、ハッキングの手法にもこういう新しくて巧妙なものが出てくる。あの手この手で迫ってくるんだ。いつも気を抜けないのは間違いない。ゆめゆめ油断めされるな、ってところだな。もちろんキミも俺もだ。