セキュリティ企業へのなりすまし攻撃やリアルタイム介入型フィッシング基盤が浮上、最新の脅威動向が公表

要点

• セキュリティ企業のReliaQuestが、自社のセキュリティ担当者を装った電話によるソーシャルエンジニアリング攻撃を受け、一時的に管理画面のセッションを侵害されたものの顧客データ流出は阻止したと発表した。

• 通常通り機能するように見せかけたElectron製の偽生産性アプリを通じて、画面キャプチャやスクリプト実行を行うマルウェアの配布が確認された。

• 攻撃者が被害者のセッションをリアルタイムで遠隔操作・誘導する新種のフィッシング基盤「JWR」の存在が明らかになった。

• 地下フォーラムにおいて月額1,400ドルで提供されているAndroid向け不正送金ボット「Octagon」や、Rust製バックドア「C2Looper」の活動が報告された。

• サイバーセキュリティ専門メディアのThe Hacker Newsは2026年8月27日、直近で観測されたサイバー攻撃やマルウェアに関する最新の脅威動向を公表した。セキュリティ企業を直接標的にした巧妙ななりすまし攻撃をはじめ、正常に動作するアプリを装ったマルウェア、攻撃オペレーターがリアルタイムに介入するフィッシング基盤など、多様化する攻撃手法の実態が明らかになっている。

セキュリティ企業ReliaQuestへのソーシャルエンジニアリング攻撃

サイバーセキュリティ企業のReliaQuestは、自社のセキュリティチームのメンバーを装った攻撃者によるソーシャルエンジニアリング（人間の心理的な隙や油断を突いて情報を盗み出す手口）の標的となったことを明らかにした。このインシデントは2026年8月22日に発生したという。

同社の説明によると、攻撃者はReliaQuestに酷似したドメインを新規取得し、コンテンツ配信ネットワーク（CDN）の背後に偽のシングルサインオン（SSO：1組の認証情報で複数の連携サービスにログインできる仕組み）ページを構築した。その上で、セキュリティ担当者の実名を騙って複数の従業員に電話をかけ、偽のログインページへ誘導を試みたとしている。

この電話を受けた従業員のうち1名が偽ページでパスワードを入力し、自身のスマートフォンに届いた多要素認証（MFA：パスワード以外の追加要素を用いて本人確認を行う認証方式）のプッシュ通知を承認した。これにより、攻撃者は同社のIDダッシュボード上で一時的なセッションを確立することに成功したという。

ただし、攻撃者に奪われた権限は閲覧専用にとどまり、社内アプリケーションやシステムへの侵入、ならびに顧客データへのアクセスは一切発生しなかったと同社は説明している。特定の攻撃グループへの断定は避けつつも、短時間で破棄される類似ドメインの利用、MFA通知の悪用、新たな認証器の登録試行といった手口は、恐喝グループ「ShinyHunters」などの手法と一致していると指摘した。ShinyHuntersは自らのダークウェブサイトに同社を標的として掲載しており、ReliaQuestは「company.claims」形式のドメインを悪用する同グループのキャンペーンを追跡している。

正常に動作するElectron製生産性アプリを装うマルウェア

セキュリティ企業のG DATA Softwareによる調査では、業務効率化や生産性向上を謳うソフトウェアの偽ウェブサイトを通じて、マルウェアが配布されている実態が判明した。

標的となっているのは、「Kitchen Canvas」「Food or Meal Formula」「DocConvertWizard」といった名称のPDF変換ツールや業務支援アプリである。これらのアプリケーションはWeb技術を用いてデスクトップアプリを開発できるフレームワーク「Electron」をベースに構築されており、利用者の目には一見して正常に機能するプログラムのように映るよう作られている。

しかし内部では、ElectronのAPIを悪用してデスクトップ画面をキャプチャする機能にアクセスしたり、外部から注入された不正なスクリプトを動的に実行したりする仕組みが組み込まれているという。ユーザーが便利なツールだと信じて利用している裏で、端末の操作画面や情報が不正に取得される危険性が指摘されている。

被害者の画面をリアルタイム誘導するフィッシング基盤「JWR」

Cisco Talosは、主要な決済プラットフォームやショッピングサイトの決済・ログイン画面を精巧に模倣する未文書化のフィッシングフレームワーク「JWR」を特定したと報告した。

従来の静的な認証情報窃取ページとは異なり、JWRのクライアントエンジンは攻撃オペレーターがリアルタイムで介入できる仕組みを備えている。被害者が偽ページにアクセスすると、暗号化（AES-CTR方式）された双方向通信プロトコル「WebSocket」を通じて攻撃者との常時接続が確立され、攻撃者が被害者の画面操作をその場で誘導・監視できる状態を作り出すという。

JWRが狙うデータはクレジットカード番号などの決済情報にとどまらない。公的な身分証明書や社会保障番号（SSN）、パスポートおよび運転免許証の画像、WebサイトやPayPalの認証情報、2要素認証コード、さらには端末固有の識別情報（デバイスフィンガープリント）に至るまで多岐にわたり、セッション終了時に攻撃者のサーバーへ一括送信される。Cisco Talosは、スクリプトの構造や機能の類似性から、JWRがフィッシング攻撃基盤を有償提供するサービス「The Outsider」の亜種である可能性が高いと分析している。

Android端末を標的にした不正送金ボット「Octagon」

モバイルセキュリティ企業のiVerifyは、ロシア語を話す脅威アクター「AndroidKitKat」が地下フォーラムで販売しているAndroid向けの不正送金ボット「Octagon」の存在を公表した。

Octagonは、マルウェアの基盤を有償で提供する「MaaS（Malware-as-a-Service）」形態で月額1,400ドルにて販売されている。購入者は、画面の上に偽の入力画面を重ねて表示するアクセシビリティオーバーレイ、遠隔操作を可能にする隠しVNC（ネットワーク経由で画面を遠隔操作する仕組み）、SMSやワンタイムパスワード（OTP）の傍受、画面ロック解除パターンの取得、さらには画面に表示された口座残高の読み取りといった機能を包括的に利用できる。

このマルウェアは一見無害な別テーマのアプリに偽装して端末に侵入し、インストール完了後に暗号資産ウォレットや銀行アプリを標的として動作を開始するという。

このほか、セキュリティ企業のZscalerなどにより、ランサムウェアグループによる使用が疑われるRust言語製のバックドア「C2Looper」の存在も報告されており、攻撃者が利用するツールやインフラの多様化が確認されている。