ロビンフッド、Gmailの「ドットエイリアス」の脆弱性を悪用した巧妙なフィッシング攻撃にさらされる：公式システムを逆手に取った詐欺に注意喚起

2026年4月28日の決算発表を控えたロビンフッド・マーケッツ（Robinhood Markets）が、自社の自動化システムを逆手に取った巧妙なフィッシングキャンペーンに苦慮している。Gmailのアドレス処理方式に存在する特異点を悪用した今回の攻撃は、ロビンフッドの公式ドメインから送信されたように見えるセキュリティ警告を生成し、熟練したセキュリティ専門家さえも混乱に陥れている。

2026年4月26日から本格的に観測された今回のフィッシングメールは、公式のログイン警告とほぼ同じ形式をとっている。メールには実際のサービスと同様のケースIDとタイムスタンプが含まれており、ユーザーがこれを偽物と識別するのが非常に困難な設計となっている。特に、送信者アドレスがロビンフッドの公式アドレスである「noreply@robinhood.com」と表示される点が、ユーザーの信頼を欺く核心的な要素となっている。

セキュリティ研究者のアブデル・サバ（Abdel Sabbah）氏は、今回の攻撃の技術的な巧妙さについて「ある意味では美しくさえある」と、邪悪な意図が込められた賛辞を送った。

今回の攻撃の核心は、Gmailがメールアドレス内のピリオド（.）を無視するという点を利用した「ドットエイリアス（dot alias）」手法だ。例えば、「u.s.e.r@gmail.com」と「user@gmail.com」を同一の受信トレイとして処理するGmailの特性を利用し、攻撃者はロビンフッドのシステムで多数の新規アカウントを作成し、公式のセキュリティ通知メールを強制的に送信させた。ロビンフッドのアカウント作成フィルターが、このようなピリオドのバリエーションを異なるアカウントとして認識したことで発生した脆弱性である。

フィッシングメッセージの主な識別要素

たとえ送信アドレスが公式アカウントとして表示されていても、メール内のリンクには致命的な危険が潜んでいる。攻撃者はユーザーを偽のログインウェブサイトに誘導し、パスワードなどの機密情報を盗み取ろうとする。単にウェブサイトを訪問するだけではアカウントは奪われないが、該当ページで情報を入力した瞬間に攻撃者に制御権が渡る可能性がある。

• 「Review Activity Now」という文言の外部リンクを含む
• 「cweegp」のようにロビンフッドとは無関係な拡張子を持つ悪質なドメインへの接続
• 公式アプリではなく、外部ウェブサイトを通じた機密情報の入力要求
• 異常なデバイスや場所からのログイン試行の通知

リップル（Ripple）のCTOであるデビッド・シュワルツ（David Schwartz）氏は、自身のX（旧Twitter）アカウントを通じて「ロビンフッドから来たように見えるすべてのメールは、フィッシングの試みである可能性がある」と緊急の注意を呼びかけた。彼は、メールが実際にロビンフッドのシステムから送信された可能性が高いことを強調し、ユーザーに対してメール内のリンクをクリックする代わりに、公式アプリを通じてアカウントの状態を確認することを強く推奨した。

ロビンフッド側は2026年4月27日の公式声明を通じて、アカウント作成プロセスの悪用による偽メールの送信事実を認め、ユーザーへの警告を掲載した。今回のセキュリティ事故は、HOODの株価にとって重要な分岐点となる4月28日の決算発表と重なり、市場の懸念を呼んでおり、フィンテック企業のセキュリティの信頼性に関する議論を再燃させている。

ユーザー保護および対応措置

もしフィッシングリンクをクリックしたり情報を入力したりした場合は、直ちにロビンフッドのパスワードを変更し、2段階認証（2FA）を有効にする必要がある。また、公式のカスタマーサポートチャネルを通じて当該事案を報告し、アカウントの異常な活動の有無を綿密に確認することが不可欠である。セキュリティ専門家は、メールの送信者アドレスだけを信じるのではなく、リンク先のURLのドメインを必ず確認すべきだと助言している。

1. ロビンフッドのアカウントパスワードを直ちに変更
2. 2段階認証（2FA）の設定および強化
3. 公式サポートチャネルを通じた事故の受付およびレポート
4. メール内のリンクの代わりに、公式アプリやウェブサイトに直接アクセスすることを習慣化

今回の事件は、フィンテックプラットフォームの自動化されたアカウント作成およびメール検証システムに内在する構造的な脆弱性を浮き彫りにした。今後、金融サービスはGmailのような外部メールサービスの特異点まで考慮した、より巧妙なセキュリティフィルタリングシステムを構築するという課題を抱えることになった。ユーザーもまた、ますます巧妙化するソーシャルエンジニアリング攻撃に備え、セキュリティルールを徹底して遵守しなければならない。