米企業を狙うフィッシング「CSuite」が急増、M365セッション窃取と遠隔管理ツールの不正導入で端末も掌握

要点

• サンドボックス解析サービスのANY.RUNは、Microsoft 365のセッション窃取と正規リモート管理ツールの導入を組み合わせたフィッシング攻撃「CSuite」の分析結果を公開した。

• 解析された検体の51%が米国からの投稿で占められており、テクノロジーや製造、政府機関、コンサルティング業界などで高い被害リスクが確認された。

• 攻撃はDocuSignやAdobe、Zoomなどを偽装した連絡から始まり、認証情報の窃取と端末への遠隔操作ツールの配布という2つの経路に分岐する。

• 被害に遭うとメールアカウントの乗っ取りによる請求書詐欺などの不正行為に加え、端末への持続的な侵入経路が構築される危険性がある。

• マルウェア解析プラットフォームを手がけるANY.RUNの研究チームは2026年9月30日、米国企業を中心に標的とするフィッシングキャンペーン「CSuite」の調査結果を公表した。本キャンペーンは、Microsoft 365のアカウントセッションの窃取と、正規のリモート管理ツールの不正導入を組み合わせた手口を用いているという。これにより、単なるメールアカウントの侵害にとどまらず、社内ネットワーク上の従業員端末に対する遠隔アクセス権まで奪われる危険性があることが明らかになった。

米国および重要産業への集中が判明

ANY.RUNが実施した351件のサンドボックス（安全に隔離された解析用環境）解析データによると、CSuiteに関連する検体投稿の51%が米国からのものであり、明確な地域的集中が見られたという。米国に次いでインドが18%を占め、フィリピン、オーストラリア、イギリス、カナダなど複数国でも関連する活動が確認されている。

業種別の傾向としては、テクノロジー、製造業、政府および行政機関、コンサルティングといった重要分野での露出が特に目立っていると報告されている。

業務ツールを装う偽装と2つの攻撃経路

CSuiteの攻撃は、日常の業務で広く使われているクラウドサービスやコラボレーションツールを偽装したおとりから開始される。具体的には、Adobe、DocuSign、Zoom、Google Meet、Dropbox、Microsoft 365などのブランドが悪用されているという。解析例の中には、実在する法律事務所の名義を騙ったDocuSignの署名依頼を装うケースなども含まれていた。

初期の接触以降、攻撃は主に2つの経路に分かれて進行する。

1つ目の経路は、従業員の端末（エンドポイント）に対する直接的な遠隔アクセスの確保である。攻撃者はインストーラーや圧縮ファイル、あるいはBATファイルやVBSファイルなどの軽量なドロッパー（マルウェアを外部から取り込んで配置するプログラム）を送り込む。これらを通じて「ScreenConnect」や「Action1」といった正規のRMMツール（IT管理者がPCを遠隔保守するためのソフトウェア）を不正にインストールさせ、攻撃者が端末を遠隔操作できる状態を作り出す。実際のサンドボックス検証では、Adobeを装ったおとりからBATファイルが実行されて管理者権限への昇格が行われ、ScreenConnectが導入される一連の流れが観測された。

もう1つの経路は、アカウントの認証情報を狙う手法である。被害者は偽のログイン画面による認証情報収集や、デバイスコードフィッシング（マイクロソフトなどの正規認証画面に悪意あるコードを入力させてログイン権限を詐取する手口）の画面へと誘導され、Microsoft 365へのアクセス権やアクティブなログインセッションが奪われる。

メール乗っ取りから組織的詐欺への急速な拡大

CSuiteがもたらす影響について、ANY.RUNはアカウントと物理端末の双方が同時に侵害される点に注意を促している。これにより、1回のフィッシング被害が組織全体に及ぶ重大なインシデントへと急速に発展する恐れがあるという。

想定される具体的な被害として、以下のような事象が挙げられている。

• メールボックスの乗っ取り: 攻撃者が社内の進行中メールスレッドを閲覧したり、支払いに関するやり取りを監視したりするほか、信頼された正規の従業員になりすましてメールを送信する。
• 金銭詐欺: 実際の業務連絡の文脈を把握した上で、請求書の改ざんや送金先の差し替え、サプライヤーを装った不正請求などを実行する。

通常のアカウント情報窃取型フィッシングと異なり、端末側の管理権限も同時に奪われるため、認証情報の変更だけでは排除が難しく、組織内部への永続的なアクセスが維持されてしまう危険性が示されている。