Casaの共同創業者Jameson Loppは、Google自身のシステムを通じて偽のメールを配信するフィッシングキャンペーンについて警告した。このキャンペーンはGoogleのインフラを悪用し、メッセージを本物に見せかけている。

暗号資産保有者がこの手口による最大のリスクに直面している。手口は、パスワードやその他の機密データを盗む目的で作られた偽ログインページに依拠している。

Google自身から送られる詐欺メール

木曜日にXに投稿された内容によると、Loppはこのキャンペーンが現在活動中の古い詐欺の手口の新バージョンであると述べた。彼は詐欺メールのスクリーンショットを添付し、それがGoogleの実際のサーバーを通じて送信されたことを示した。

New flavor of Google phishing that abuses Google's own infrastructure to send you this email. If you click the link you end up at a phishing login page. pic.twitter.com/dfkvfibo33

— Jameson Lopp (@lopp) October 29, 2026

投稿によれば、メッセージ内のリンクをクリックした者はフィッシングのログインページに誘導される。

LoppがGoogleシステムの悪用を指摘するのは今回が初めてではない。5月には、Googleのアカウント復旧フォームを悪用した詐欺を取り上げた。攻撃者はフォームに非常に長いメッセージを入力し、上部には本物らしく見える通知を配置し、詐欺リンクは大量の空白の後、はるか下方に設置していた。今回の事案でも警告はGoogleの実際のアカウントシステムを通じて届いていた。これらの事例を総合すると、攻撃者は企業のなりすましではなく正当なGoogleの機能を経由して詐欺を繰り返し実行しており、これによりメールの真偽を判断する最も一般的な方法が無効化されている。

Check Pointが類似のキャンペーンを確認

セキュリティ企業Check Point(NASDAQ: CHKP)は、Google CloudのApplication Integrationツールの「Send Email」機能が悪用されたキャンペーンを発見した。2025年12月の2週間にわたり、攻撃者は約3,200組織に9,394件のメールを送信した。メッセージは本物のGoogleアドレスnoreply-application-integration@google.comから送信されていたため、受信側のメールサーバーに対してメッセージが本物であることを示す通常の指標となるDMARCおよびSPF検証を通過した。DMARCとSPFは、メールプロバイダーがメッセージが実際に送信者アドレスに表示されたドメインから来たものであることを確認するために使用する業界標準のプロトコルであり、両方をクリアすることはスパムフィルターと受信者の双方にとって重要な判断材料となる。

リンクをクリックした受信者は、まず複数の信頼されたGoogleのウェブアドレスを経由して誘導された。その後、自動セキュリティスキャナーを防ぐために設計された偽のCAPTCHAページに遭遇し、最終的にはMicrosoft(NASDAQ: MSFT)がホストしていない偽のMicrosoftログインページに到達した。

Google(NASDAQ: GOOGL)は研究者に対し、キャンペーンをブロックしたと伝え、問題は自動化ツールの悪用によるものであり、システムへの侵入によるものではないと説明した。同様の詐欺は、Google Meet、DoubleClick、Google Analyticsなどのサービスを通じて行われたとも報じられている。この繰り返されるパターンは、あらゆる技術的シグナルが正当に見えるメッセージであっても、悪意あるページにつながり得ることを意味する。Googleは自社システムは侵害されていないと主張している。

暗号資産保有者が狙われやすい理由

暗号資産取引所のユーザーとウォレット保有者は特に危険にさらされているとみられている。偽ログインページはパスワード、セッションデータ、二要素認証コードを取得するために使用され得るためだ。リスクの大きさも伝統的金融より構造的に高い。暗号資産の不正送金は、オンチェーン上で確認されると一般的に取り消し不可能であり、認証情報が盗まれた後の回復の余地はほとんど残されない。

この警告は、今週Cryptopolitanが報じた別の事案に続くものだ。この事案では、詐欺師がCloudflare(NYSE: NET)から漏洩したAPIキーを使用し、Foundation自身のドメインからメールを送信した。一部の受信者は、受信した詐欺メールに氏名、住所、過去のPassport購入履歴といった正当な個人情報が含まれていたと述べた。Foundationはその後キーを失効させ、デバイス上の資金は安全であると述べた。

より広く見ると、Binanceは2026年第1四半期に2,290万件の詐欺およびフィッシングの試みをブロックし、前四半期から54%増加したと報告している。また、約19億8,000万ドルのユーザー資金を保護したと述べており、個別のキャンペーンが封じ込められても、フィッシングが業界で最も根強い攻撃ベクトルの一つであり続けていることを示すペースとなっている。