PDF を表示する HTML 添付に偽の認証画面を重ね、WebSocket で送らせる手口：見分け方と検知点
研究者が 10 月 30 日に実演した手口。ぼかした PDF を表示する HTML ページの上に Windows 11 風の入力画面を出し、「復号に必要」と偽って入力させた ID とパスワードを WebSocket で送る。PDF 内の JavaScript は使わないので、PDF ビューアーのスクリプト制限では止まらない。実攻撃での使用報告ではない。
仕組み
- Gmail 添付の HTML をダウンロードして開くと、ブラウザーで PDF 風の画面が出る。入力後は本物の PDF を表示して怪しまれにくくする。
- 通信は TLS 付きの WebSocket（443 番）で、Cloudflare Tunnel 経由で攻撃者のコンソールにつながり、入力内容を JSON で送る。接続中は追加の入力画面やスクリプトも送り込める。
- JavaScript が動かないメールアプリでは、PDF 風の画像からブラウザーへ誘導する一段を足す。iOS では標準メールは外部 URL を開く前に確認を出したが、Outlook は確認なしで開いたという。
防御側の確認点
- 添付の種類: 「PDF」なのに拡張子が
.html/.htm/.shtmlの添付は、メールゲートウェイで隔離するか警告を付ける。 - 見た目の手掛かり: ぼかした文書、OS 風の認証画面、押しても閉じないキャンセルボタン。PDF を見るのにパスワード（とくに会社アカウントの）を求められることは普通ない、と利用者に周知する。
- 通信の検知: ローカルの HTML ファイル（
file://）から外部への WebSocket 接続、trycloudflare.comのような一時トンネルへの接続を監視する。TLS 復号ができる環境なら、WebSocket フレーム内のusername/passwordを含む JSON も手掛かりになる。 - 入力してしまったら: パスワードを変更し、MFA の登録とセッションを確認する。