CyberSecurityAction

サイバー攻撃トレンド / 脆弱性情報

ロシアAPT「Laundry Bear」がZimbraのゼロクリック脆弱性を悪用してメールを窃取 - CISA警告

CISAはロシア国家支援グループ「Laundry Bear（Void Blizzard）」がZimbra Collaborationの既修正脆弱性とフィッシングを組み合わせてメール窃取攻撃を展開していると警告。Zimbra利用組織は早急な確認が必要だ。

喜村 圭佑（編集責任者）更新 約6分

SHARE

XB!in
ロシアAPT「Laundry Bear」がZimbraのゼロクリック脆弱性を悪用してメールを窃取 - CISA警告

THREAT GAUGE算出基準

IMPACT（影響範囲）7.5
URGENCY（対応緊急度）8.0
EXPLOIT（悪用の容易さ）7.0

“国家支援APTによる積極的悪用。ゼロクリックでメール窃取可能”

01 · Overview

ニュースの概要

2026年7月23日、CISA（米国サイバーセキュリティインフラセキュリティ庁）はロシア国家支援の脅威グループ「Laundry Bear」（別名：Void Blizzard）が、Zimbra Collaboration（メールサーバーソフトウェア）のゼロクリック脆弱性を悪用して組織のメールを窃取する攻撃を継続していると警告した。

Laundry BearはフィッシングメールとZimbra脆弱性の組み合わせで攻撃を展開しているとされる。「ゼロクリック」とは、受信者がメールを開いたり添付ファイルをクリックしたりすることなく、メールを受信するだけで攻撃が成立する手法を指し、従来のフィッシング対策（添付ファイルを開かない等）では防御できないため特に危険だ。

Zimbra Collaborationはオープンソース系のメールコラボレーションプラットフォームであり、行政機関・教育機関・中小企業・国際NGOなど、Microsoftメール製品以外を使用する組織で広く採用されている。日本国内でも一部の行政機関や大学でZimbraが稼働している。

BleepingComputerの報道によると、今回悪用されているZimbra脆弱性はすでにパッチが提供されているが、未適用の環境が多数残存しているとみられる。CISAは特に政府機関・重要インフラ向けにZimbraの即時アップデートと侵害調査を強く推奨している。

攻撃グループ
Laundry Bear / Void Blizzard
帰属
ロシア国家支援（FSB関連とされる）
攻撃対象ソフト
Zimbra Collaboration（メールサーバー）
手法
ゼロクリックフィッシング＋脆弱性悪用
CISA警告発行日
2026年7月23日
パッチ状況
既修正（未適用環境に悪用継続）

BleepingComputerおよびCISAの公式発表に基づく要約。攻撃の技術的詳細はCISAアドバイザリの原文を参照のこと。

02 · Analysis

詳細な原因解説

Zimbraの今回の脆弱性の技術的詳細はCISAのアドバイザリに記載されているが、メール処理パイプラインの特定コンポーネントにおける入力検証不備が根本原因と考えられる。ゼロクリック攻撃が成立するということは、メールのヘッダーや本文を受信サーバーが解析する過程でコードが実行される可能性を示唆している。

Laundry BearはNATO加盟国・欧州政府機関・外交機関を主要ターゲットとしてきた実績を持つグループだ。今回の攻撃もロシアの地政学的利益に沿った情報収集（インテリジェンス活動）の一環とみられる。ゼロクリック脆弱性はAPT（国家支援の高度標的型攻撃）グループが好む手法であり、ターゲットに気づかれずに長期間メールを傍受できる。

フィッシングとゼロクリック脆弱性の組み合わせが特に厄介な点は、フィッシングが偵察フェーズとして機能し（メールアドレスの有効性確認、標的の特定など）、脆弱性悪用が本攻撃フェーズとして機能するという二段階構造にある。

また、パッチが既に提供されているにもかかわらず悪用が継続しているという事実は、組織のパッチ管理サイクルに依然として大きなギャップがあることを示している。特にZimbraはオープンソース系のため商用サポートなしで自己管理している組織が多く、脆弱性対応の遅延が生じやすい。

03 · Action

今からできる主な対策

明日からすぐ

1週間以内

05 · Forecast

今後起こりうる展開と対策

Kill Chain：Laundry BearのZimbra攻撃チェーンを分解

Q. Laundry BearはどのKill Chainステージでどのツール・手法を使用しているか？

【Reconnaissance（偵察）】標的組織のメールアドレスリストをOSINTで収集し、Zimbraを使用しているかどうかをサービスバナー取得で確認する。【Weaponization（武器化）】Zimbra脆弱性を悪用するゼロクリックペイロードを準備し、フィッシングメールとして配信可能な形に加工する。【Delivery（配信）】標的にメールを送信し、受信サーバーでのメール処理時に脆弱性を自動発火させる。【Exploitation（悪用）】ゼロクリックでZimbraサーバー上のコード実行権限を取得する。【Installation（インストール）】バックドアやウェブシェルを設置して永続化する。【Command&Control（C2）】Zimbraサーバーを踏み台にC2チャネルを確立し、標的組織内の他システムへのラテラルムーブメントを開始する。【Actions on Objectives（目的達成）】メールボックスへの長期アクセスにより外交・政治情報を継続的に窃取する。

システム思考：メール傍受が情報エコシステムに与える連鎖影響

Q. メールサーバーへの長期潜伏が引き起こすフィードバックループとは？

ゼロクリックでメールサーバーへ侵入した攻撃者は、気づかれないまま数ヶ月〜数年にわたってメールを傍受できる。この「見えない傍受者」が存在する状態では、組織内のすべてのメールコミュニケーションが漏洩していると想定しなければならない。交渉戦略・人事情報・M&Aプランなど競争優位の根幹をなす情報が敵対国家の手に渡り、外交交渉や商取引において不利な立場に立たされる「情報非対称性」が生じる。発覚が遅れるほどこのループは深まり、発覚後も「いつから・何が漏れたか」の特定が困難になるため、インシデント対応コストが指数関数的に増大する。

Zimbra環境への多層防御とAPTへの備え

APTグループへの対策は「侵入を完全に防ぐ」ことより「侵入を素早く検知して被害を最小化する」ことが現実的です。Zimbraのログを集中型SIEMに転送し、異常なメールエクスポートやアカウントアクセスパターンをリアルタイムで検知できる体制を整えることが最重要です。

外交機関・政府機関・防衛関連企業など国家支援グループの主要ターゲットとなり得る組織は、Microsoft Defender for Office 365やGoogle WorkspaceなどのクラウドネイティブなメールSaaSへの移行を中長期的に検討することも、セキュリティ態勢の根本改善策になり得ます。

06 · AI Prompt

AI対策プロンプト

あなたは[組織種別]のセキュリティ担当者です。自組織ではオンプレミスのZimbra Collaborationを[バージョン]で運用しています。CISAの警告を受け、Laundry Bearによる侵害を受けていないか調査する必要があります。 以下を実施してください： 1. Zimbra管理者としてシェル操作で確認すべきログファイルのパスと、確認すべき不審なパターンの具体的なgrepコマンド例を5つ提示する 2. ネットワーク機器のログから確認すべきLaundry BearのC2通信特徴を説明する 3. 調査結果を「侵害なし」「要精査」「侵害の疑いあり」の3段階でトリアージする判断基準を示す 4. 「侵害の疑いあり」の場合に最初の2時間で実施すべきアクションを時系列で列挙する

プロンプトのカスタマイズ

以下を入力すると、上のプロンプトに反映されます。

自組織の種別（行政・大学・民間企業等）を入力してください

稼働中のZimbraのバージョンを入力してください

キーワード

  • Laundry Bear
  • Zimbra
  • ゼロクリック攻撃
  • APT
  • メールサーバー脆弱性

SOURCES · 参考情報源