ロシアの脅威アクターがMicrosoft Outlook Web AccessのCVE-2026-42897と呼ばれるXSS脆弱性を悪用し、米国と欧州の政府機関、通信、金融、観光、航空業界を標的とした攻撃を展開している。この攻撃は2026年7月22日から始まり、認証情報の回復後もメールボックスへのアクセスが維持される事態を引き起こしている。

攻撃の背後にあるのは、以前にZimbraのXSS脆弱性を悪用したLaundry Bearと呼ばれるグループであることが判明している。この攻撃では「ハーフクリック」手法が使用され、メールを開くだけで悪用コードが実行される。この手法により、ユーザーが何らかの操作を行わなくても攻撃を受ける可能性がある。

OWAReaperと呼ばれるJavaScriptベースのインプラントが攻撃の最終段階で使用され、MicrosoftのWebメールクライアントで恒久的なアクセスを確保している。このインプラントは認証情報の回復や標的デバイスの再起動後もメールボックスへのアクセスを維持する機能を持つ。