Google は、悪意のあるハッカーが被害者のデバイスを侵害するために悪用した Windows 版 Chrome ブラウザのセキュリティ上の欠陥を修正したと発表した。
グーグルは火曜日に発表した短い声明の中で、サイバーセキュリティ企業カスペルスキーの研究者らが今月初めに発見したCVE-2025-2783として特定された脆弱性を修正したと述べた。
グーグルは、この欠陥が積極的に悪用されているとの報告を認識していると述べた。この脆弱性は、発行者が修正する前に悪用されたため、「ゼロデイ」と呼ばれています。
カスペルスキーによれば、この欠陥は Chrome を実行している Windows コンピューターを標的としたハッキング キャンペーンの一環として利用されたとのことです。
カスペルスキーはブログ投稿で、この攻撃を「Operation ForumTroll」と名付け、被害者はロシアで開催される国際政治サミットへの参加を勧誘するフィッシングメールの標的になったと述べた。
メッセージ内のリンクをクリックすると、被害者は悪意のある Web サイトにリダイレクトされ、その Web サイトはすぐに脆弱性を悪用して標的のデバイス上のデータにアクセスしました。
カスペルスキーは、Chromeのパッチリリース時点では、この欠陥に関する技術的な詳細をあまり明らかにしなかったが、この脆弱性により、ブラウザからデバイス上の他のデータへのアクセスを制限するように設計されたChromeの保護を攻撃者が回避できるようになったと述べた。
ロシアのサイバーセキュリティ企業はまた、この欠陥がGoogleのChromiumエンジンをベースにしたすべてのブラウザに影響を与えることも明らかにした。
別の分析では、カスペルスキーは、この欠陥が長期間にわたって密かに監視しデータを盗むことを目的としたスパイ活動に利用されたと推定した。
ハッカーらはロシアのメディア関係者や教育機関の職員に個人宛てのフィッシングメールを送信した。
この脆弱性を悪用した犯人の正確な身元は不明だが、カスペルスキー社は、この攻撃は国家が後援または支援している可能性が高いハッキンググループによるものだとしている。
Chrome のようなブラウザは、悪意のあるハッカーや政府支援グループの一般的な標的です。
保護を回避してデバイス上の機密データにアクセスできるゼロデイ脆弱性は、非常に高額で取引される可能性があります。
2024年、ゼロデイブローカーは、インターネット経由でリモートから悪用される可能性のある脆弱性に対して最大3万ドルの報酬を提示していました。
Google は、Chrome のアップデートが今後数日から数週間以内に展開されることを発表しました。
