近年、企業のITインフラではクラウドサービスの導入が進み、業務の柔軟性や効率が飛躍的に向上しました。しかしその一方で、クラウドサービス自体がサイバー攻撃の経路として悪用される事例が急増しています。なかでも注目されているのが、Googleが提供する「Googleカレンダー」をマルウェアのC2（コマンド＆コントロール）サーバーとして活用する新しい攻撃手法です。
この記事では、Googleカレンダーを悪用したC2通信の仕組みや実際の事例、関与している攻撃グループ、そして企業や管理者が講じるべき具体的な対策までを、わかりやすく解説します。
▼ Notebook LMでも解説してます🔗
Googleカレンダーを悪用する攻撃とは？
クラウドサービスの普及によって、正規のインフラが攻撃の一部として使われるリスクが現実のものになっています。中でも、GoogleカレンダーをマルウェアのC2に転用するという手法は、その正当性ゆえに検出が難しく、新たな脅威として注目されています。ここではまず、C2通信とは何か、そしてなぜGoogleカレンダーが狙われるのかを見ていきましょう。
C2サーバーとは何か
マルウェアは、単体で活動するのではなく、攻撃者からの命令（コマンド）を受け取り、それに従って情報を盗んだり破壊行為を行ったりします。こうした指令のやり取りをする拠点が「C2サーバー（コマンド＆コントロール）」です。
通常、攻撃者はC2サーバーを自ら設置し、通信を行いますが、この手口はセキュリティベンダーや政府機関に発見されやすくなっています。そこで近年登場したのが、GoogleやMicrosoftといった大手クラウドサービスを中継として利用する「正規サービスの悪用」という新たな戦術です。
なぜGoogleカレンダーが使われるのか
Googleカレンダーは、個人・企業問わず広く利用されており、イベント情報をGoogle API経由で読み書きする機能があります。このAPIは認証付きで第三者とも共有可能なため、攻撃者が自分のカレンダーに書き込んだ内容をマルウェア側から参照させるという利用が可能になります。
しかも、通信先が「google.com」ドメインであるため、従来のファイアウォールやDNSフィルタでは「正規通信」として許可されてしまう可能性が高く、セキュリティ対策の盲点を突いた攻撃となっています。
攻撃手法の仕組み
GoogleカレンダーがC2に利用されると言っても、どのようにして通信が成立するのかイメージしにくい方も多いでしょう。この章では、攻撃の流れをわかりやすく図解を交えて説明するとともに、実際に悪用される技術やステルス手法について詳しく解説します。
Googleカレンダーを利用したC2通信
マルウェアがGoogleカレンダーをC2として利用する際の通信フローは以下のようなものです：
- 攻撃者がGoogleアカウント上に専用のカレンダーを作成。
- カレンダーイベントの「説明欄」などにコマンド（命令）を暗号化して記述。
- 感染端末のマルウェアがそのカレンダーにアクセスしてイベントを取得。
- 命令を復号し、PC上で実行。
- 実行結果を暗号化し、別イベントに書き込む。
- 攻撃者がその内容を取得して状況を把握。
この通信はすべてHTTPS経由かつGoogleのAPIを利用するため、ログやトラフィックの中でも非常に発見しにくい構造となっています。
特徴的な手法と隠蔽技術
多くのケースでは、以下のような工夫が施されています。
- コマンドや応答データの暗号化（Base64、XOR、AESなど）
- イベントのタイトルや説明欄を使用し、ユーザーには見えない形にする
- 過去の日付のイベントにデータを保存し、「埋もれさせる」
- Googleカレンダーの短縮URL（
https://calendar.app.google/～）を中継リンクとして利用 - HTML属性内の非表示データ（例：
data-base-title）に情報を埋め込む
こうした多重のステルス技術により、マルウェアの通信が可視化されにくくなっています。
実際に確認された攻撃事例
こうした攻撃手法はすでに現実の脅威として観測されており、国家支援型の高度なサイバー攻撃から、開発者向けライブラリを悪用したサプライチェーン攻撃にまで拡大しています。ここでは、過去に確認された代表的な事例を2つ取り上げ、その背景と影響を見ていきます。
事例1：APT41による国家支援型サイバー攻撃（2024年）
Googleの脅威分析グループ（TAG）は2024年、中国系APTグループ「APT41」がGoogleカレンダーをC2に用いてマルウェア「TOUGHPROGRESS」を拡散していたことを公表しました。
このマルウェアは、Webサイト改ざんからのドライブバイダウンロードで感染を広げ、Googleカレンダーイベントを通じて遠隔操作を行っていました。API経由で命令を受け取り、結果をイベントに書き込むという形で情報を窃取するなど、高度な手口が確認されました。
事例2：NPMライブラリに偽装したサプライチェーン攻撃（2025年）
2025年には、開発者向けライブラリ配布サイト「npm」において、悪意あるパッケージが公開されていました。表向きは「システム情報取得ツール」ですが、インストールと同時にGoogleカレンダーの短縮URLにアクセスし、そこに記載されたURLを復号することで、次段階のマルウェアをダウンロードする仕組みでした。
このように、サプライチェーン攻撃とクラウド悪用が組み合わさる事例も登場しており、企業にとっては見過ごせないリスクです。
関与している攻撃グループ
このような高度な手法を用いる攻撃者は限られており、現時点では主に中国政府と関係のあるAPTグループが関与していると考えられています。彼らの過去の手口や活動範囲を知ることは、今後の対策を検討するうえで非常に有効です。
APT41（HOODOO）
この手法を実際に利用していたことが確認されたのは、主に中国の国家支援型ハッカーグループAPT41（別名：HOODOO）です。APT41は過去にもGoogle DriveやGoogle Sheetsを悪用したマルウェア通信を行っており、今回のGoogleカレンダーC2はその延長線上にあると考えられています。
他のAPTグループや犯罪者による利用は現時点では限定的ですが、GitHub上にはPoC（概念実証）コードも出回っており、今後広まる可能性も十分にあります。
検出・防御のポイントと対策
クラウドを悪用したC2通信は、従来のセキュリティでは見逃されやすいのが実情です。とはいえ、手法の特性を理解し、ネットワークやエンドポイント、クラウド管理の各層で適切な対策を講じれば、被害の未然防止は可能です。この章では、具体的な検出ポイントと実施すべき対策を紹介します。
1. ネットワーク監視による異常検知
- GoogleカレンダーAPIへの「頻繁なアクセス」が社内ネットワークから発生していないか
- 深夜や休日に発生する不自然なトラフィック
- 不審なカレンダーIDやAPI URLの利用履歴
2. EDR／SIEMによる端末監視
- Google APIを使用する不審プロセスの実行（例：
svchost.exeによるAPI通信） - ファイルレスマルウェアの痕跡やDLLインジェクションの兆候
- 公開されているYARAルールの活用（APT41によるカレンダーIDやOAuthスコープなど）
3. Google Workspace側での管理対策
- 外部カレンダーとの共有設定を制限（Google管理コンソール）
- APIアクセスのログ確認、不要なスコープの制御
- OAuth認証済みアプリの監視と削除
まとめ：クラウドサービスの安全な利用が鍵
Googleカレンダーを悪用したC2通信は、単なる技術的なトリックにとどまらず、企業のセキュリティ運用やクラウド利用方針そのものに影響を与える新たな課題です。最後に、この攻撃の本質と、今後の備えとして重要な視点を改めて確認しておきましょう。
通信先がGoogleの正規ドメインであるという事実は、検出の難しさを象徴しています。今後は同様の手法が他のクラウドサービスにも拡大していくことが予想されるため、ログ監視や異常検知の仕組みを整備し、日常業務の中で「見逃されがちな異変」に気づける体制づくりが必要です。
コメント