添付ファイルも開いていない。リンクも踏んでいない。それでも受信箱の中身と認証情報が外部へ送られていた——。セキュリティ企業のプルーフポイントが公開した調査によれば、ロシアと連携する攻撃グループ「TA488」は、Webメール製品Zimbraの未修正の脆弱性を悪用し、メールを表示させるだけで攻撃を成立させていた。米NSAとFBIの合同アドバイザリと連携して公開されたこのレポートは、日本企業がふだん「怪しいメールを開かせない」ことに費やしている注意喚起が、そもそも前提から崩れうることを示している。
クリックを必要としない「ハーフクリック」
プルーフポイントは、TA488（Void Blizzard、Laundry Bearとも呼ばれる。旧称UNK_PitStop）が2025年中の少なくとも5か月間にわたり、当時公表されていなかったZimbraメールサーバの脆弱性を悪用していたと報告している。この脆弱性はその後、CVE-2025-66376として修正された。
攻撃メールの中身は、ごく一般的な業務連絡を装った内容だった。特徴的なのは、標的にクリックさせる仕掛けが一切ないことだ。クロスサイトスクリプティング（XSS）のコードがメール本文のHTMLに直接埋め込まれており、脆弱なZimbra Webmailで開くか、プレビュー表示した時点でJavaScriptが動き出す。ブラウザの種類は問わない。こうした手口は、利用者が「開く」という半分の動作だけで成立することから、ハーフクリック・エクスプロイトと呼ばれる。
送信元には、攻撃者が用意したProton Mailのアカウントに加え、過去に侵害した実在のメールアドレスも使われていた。標的となったのは、ウクライナの政府機関、そして米国の政府機関・高度科学分野・防衛産業基盤で、教育機関も含まれていたという。
サニタイザーの目をすり抜けた「タグ分割」
なぜ、危険なスクリプトがメール表示時にそのまま動いてしまったのか。原因は、Zimbraのクライアント側にあるHTMLサニタイザー（危険なタグを取り除く仕組み）の処理にあった。
TA488は、悪意のある`<svg onload=…>`タグを表示されないdiv要素の中に隠したうえで、偽のCSSの`@import`指定やHTMLコメントを差し込んで、タグをばらばらに分断していた。サニタイザーから見れば、そこにあるのは実行可能なコードには見えない。ところが、サニタイザーが`@import`の並びを削除・変換した結果、残った文字がつながって`<svg onload=eval(atob(…))>`という有効な構文に戻り、ブラウザがそれを素直に実行してしまう。プルーフポイントはこの手法を「タグ分割（tag-splitting）」と説明している。
盗まれたのはメールだけではない
実行されるスクリプトを、プルーフポイントは「ZimReaper」というマルウェアファミリーとして追跡している。その挙動は、単なる情報の盗み見にとどまらない。
まずC&Cサーバへ通信して攻撃の成功を記録し、ログイン中ユーザーのCSRFトークン（なりすまし操作を防ぐための識別情報）とブラウザの自動入力パスワードを窃取する。続いてZimbraのAPIを使って環境を調べ、二要素認証のコードまで収集する。これらは被害者のメールアドレスやサーバのバージョン情報とともに、DNSクエリという目立ちにくい経路で外部へ送られていた。
さらに深刻なのが永続化の手口だ。ZimReaperは`CreateAppSpecificPasswordRequest`を呼び出し、「ZimbraWeb」という名前のアプリケーション専用パスワードを勝手に作成する。このパスワードがあれば、二要素認証を経ずにIMAP・POP3・SMTPでメールサーバへアクセスできる。パスワードを変えても、多要素認証を有効にしていても、この抜け道は残り続ける。
そのうえでマルウェアは、あらゆる2文字の組み合わせでクエリを投げてGlobal Address List（全社の連絡先一覧）を走査し、最後に過去90日分のメールをZimbraのエクスポート機能でTGZファイルにまとめ、HTTP POSTで送信していた。侵害したアカウントは、次の標的へ攻撃メールを送る「信頼できる差出人」としても再利用されている。
エンドポイント製品に痕跡が残りにくい
この攻撃が厄介なのは、悪意のあるコードがブラウザのJavaScriptエンジンの中で完結する点にある。プルーフポイントは、実行が標的のブラウザ内で行われるため、多くのEDR（端末の挙動を監視して不審な動きを検知する仕組み）やアンチウイルスでは明確なフォレンジック（侵害の痕跡を調べる調査）の手がかりが残らず、解析が困難になると指摘している。ファイルが落ちてこない、プロセスが起動しないタイプの攻撃に対して、端末側の監視だけでは限界があるということだ。
なお、プルーフポイントは、セキュリティ企業Seqriteによる公表と攻撃者自身によるインフラ撤去を経て、2026年2月以降TA488の活動を確認していないとしている。ただし同社は、同グループが今後、認証情報やメールを窃取する別の手法を模索する可能性があるとも述べており、脅威が消えたと考えるのは早い。大規模言語モデル（LLM）を使ってパッチ回避や類似の脆弱性発見を試みる可能性についても、確認された事実ではないと断りつつ言及している。
「メールを開かせない」対策が効かない領域がある
日本企業のメール対策は、標的型メール訓練に代表されるように「怪しいメールを開かせない」「添付を実行させない」ことに重心が置かれてきた。ハーフクリック型の攻撃は、その努力が届かない領域を突く。利用者に落ち度がなくても、Webメール製品の脆弱性が残っていれば成立してしまうからだ。
自社でZimbraのようなWebメール基盤を運用している組織にとって、まず現実的なのは修正版の適用状況の棚卸しである。加えてプルーフポイントは、標的となった可能性がある場合、`/opt/zimbra/log/audit.log`に`CreateAppSpecificPassword`の呼び出しが記録されていないかを確認し、「ZimbraWeb」や類似の名前で作成されたアプリケーション専用パスワードがあれば無効化するよう推奨している。侵入されたかどうかを、痕跡から自力で確かめる作業だ。
そしてこの事案は、狙われたのが政府機関や防衛産業だからと切り離せる話でもない。攻撃者は侵害したアカウントを次の攻撃の踏み台として使っており、取引先や関係機関から届いた「本物の差出人」からのメールが起点になりうる。パッチ適用の速度と、認証情報が盗まれた後に何が起きるかを想定した監視。この2つを持てているかどうかが、被害の大きさを分ける。
同じ手口に、自社は備えられていますか？