DigiCertの証明書窃取、中国ハッカー「GoldenEyeDog」の傘下組織が関与と判明

要点

• 2026年4月に発生した認証局大手DigiCertのセキュリティ侵害について、米Expelが分析結果を発表した。

• 攻撃を実行したのは、中国のサイバー犯罪グループ「GoldenEyeDog」のサブグループである「CylindricalCanine」とされる。

• 攻撃者はサポートチャットを悪用してマルウェアを送り込み、担当者の端末を乗っ取った。

• 奪取されたコード署名証明書は、攻撃者自身のマルウェアに適用され、セキュリティ検知の回避に悪用された。

• 同グループは、中国系ハッカーに広く使われる遠隔操作ツール「Gh0st RAT」の改造版などを展開している。

• デジタル証明書の発行元である認証局（暗号通信に必要なデジタル証明書を発行する機関）大手のDigiCert（デジサート）で2026年4月に発生したセキュリティインシデントについて、米セキュリティ企業Expel（エクスペル）が詳細な調査報告を公開した。同社の分析によると、この攻撃は「CylindricalCanine（シリンディカル・キャニイン）」と呼ばれる脅威グループによるものであり、中国の著名なサイバー犯罪組織「GoldenEyeDog（ゴールデンアイ・ドッグ）」の傘下で動くサブグループであることが判明したという。今回の事象は、信頼された証明書を直接狙うハッカーの巧妙な手口を改めて浮き彫りにした。

チャット機能から侵入されたDigiCertの舞台裏

事件の始まりは2026年4月2日、攻撃者が顧客向けの問い合わせチャットを介してDigiCertのサポートチームに接触したことだった。攻撃者は顧客が撮影した「スクリーンショット」を装い、悪意あるZIPファイルを送信。サポート担当者がこれを展開したことで、内部に格納されていた拡張子「.scr」の実行ファイル（コンピュータが直接処理を行うプログラム）が起動し、マルウェアがシステムへ侵入した。

これによりサポートアナリスト2名の端末が遠隔操作され、顧客アカウントを閲覧できる限定的な機能が不正利用された。攻撃者はこの権限を悪用し、顧客向けに発行される予定だった複数のコード署名証明書（ソフトウェアの作成元を証明し、改ざんがないことを保証する電子署名）を傍受し盗み出したのである。

目的は自作マルウェアへの署名だった。DigiCertが署名したソフトウェアはOSやセキュリティソフトに「信頼できる」と判断されやすいため、検知をすり抜けることができる。攻撃者はこの仕組みで監視を回避し、検知をすり抜けて攻撃を展開した。DigiCertは発覚後、不正取得された証明書を速やかに失効させたと説明している。

攻撃を主導した「GoldenEyeDog」の背景

CylindricalCanineの親組織である「GoldenEyeDog」は、セキュリティ業界で「APT-Q-27」や「Dragon Breath（ドラゴン・ブレス）」、「Miuuti Group（ミウーティ・グループ）」などの別名でも追跡されている中国のサイバー犯罪グループだ。少なくとも2015年から活動が確認されており、本物に模した偽ウェブサイトを構築してマルウェア入りのソフトウェアをダウンロードさせる手口で知られる。

同グループはこれまで、主にギャンブルやゲーム業界を標的にしてきたが、Expelの研究者アーロン・ウォルトン氏は「今回の攻撃は使用したマルウェアと攻撃者の高い技術力を示している」と分析する。アジア太平洋地域の金融機関も標的としており、その活動傾向は他の中国系ハッカーと一致しているという。

改造版「Gh0st RAT」と巧妙化する配信手法

CylindricalCanineが使用するマルウェアの中核は、中国系ハッカーが多用する遠隔操作ツール（RAT）（遠隔からコンピュータを操作するツール）「Gh0st RAT」（別名 Farfli）を改造した「Golden Gh0st RAT」だ。「Golden Gh0st Loader」という読み込みプログラムで標的端末に展開される。

過去の攻撃手口も報告されている。2025年11月にElastic Security Labsは、同グループが「RONINGLOADER」と呼ばれるプログラムを用い、Google ChromeやMicrosoft Teamsに偽装したインストーラー経由でGh0st RATの亜種を配布していたと報告。2026年初頭にはWeb3（次世代分散型ウェブ）関連企業のサポートチャットで不審なリンクを送り、同様にマルウェアを送り込む攻撃も観測された。

また、このGolden Gh0st RATは、2020年に中国QiAnXinがギャンブル業界への攻撃で検出したものや、2025年2月にANY.RUNが「Zhong Stealer（ジョン・スティーラー）」として報告したマルウェアとも技術的な重複が確認されている。