正規RMMツールを悪用するフィッシング攻撃が世界46カ国に拡大、米国が最大の標的に――ANY.RUNが調査結果を公表

要点

• 正規のリモート監視・管理（RMM）ソフトウェアを標的の端末にインストールさせるフィッシング攻撃が、世界46カ国に拡大していることが判明した。

• 観測された攻撃活動全体の約45%が米国を標的としており、教育やテクノロジー、政府機関などが主な対象となっている。

• 攻撃者はVercelやNetlifyなどのホスティング基盤を日次で切り替えており、特定されたURLの94%が1日しか使われない使い捨てインフラであることが分かった。

• ドメインが頻繁に変更される一方で、フィッシングキット内のフォントや特定の配信構造など、共通の痕跡から一連の作戦であることが特定された。

• サイバーセキュリティ企業のANY.RUNは2026年9月3日、正規のリモート監視・管理ツールを悪用した大規模なフィッシング攻撃キャンペーンに関する調査結果を公表した。当初はカナダの税務機関を装った限定的な攻撃とみられていたが、実際には世界46カ国におよぶ広範な作戦であり、そのうち約45%が米国を標的としている実態が明らかになった。

当初想定を上回る規模と米国の集中標的

このフィッシング攻撃は、初期の段階ではカナダ歳入庁（CRA）の税務書類を装った手口が目立っていたことから、カナダ国内を狙った地域的な攻撃と推測されていた。しかし、ANY.RUNの調査によって合計601件の関連事例が特定され、世界46カ国に広がる大規模な作戦の一部であることが判明した。

特に米国への攻撃が集中しており、観測された活動全体の約45%を占める最大の標的となっている。標的とされた業界は多岐にわたり、教育、テクノロジー、政府機関が上位を占めているほか、銀行や金融、製造業の組織に対しても活発な攻撃が確認されている。

多彩なおとり文書と正規RMMツールの悪用

攻撃者は標的とする組織や地域に合わせて巧妙におとり（ルアー）を使い分けている。具体的には、UPSなどの配送通知、AdobeのPDF文書、税務通知、米社会保障局（SSA）を騙る文書、各種請求書（インボイス）など、受信者が思わず開いてしまうようなテーマが多用されているという。

攻撃の目的は、標的の端末に正規のリモート監視・管理（RMM：IT管理者が遠隔で端末を保守・管理するためのソフトウェア）製品を騙してインストールさせることにある。攻撃者が悪意のある専用マルウェアではなく正規のRMMツールを用いるのは、セキュリティ製品による検知を回避しやすく、必要に応じて悪用するツールの種類を容易に切り替えられるためである。

94%が1日で消える「使い捨てインフラ」

今回のキャンペーンの大きな特徴として、攻撃インフラの極めて高速なローテーションが挙げられる。ANY.RUNの分析によると、確認された240件のホストにまたがる425件のフィッシングキットURLのうち、実に94%がわずか1日しか観測されなかった。

フィッシングページの配信には、Vercel、GitHub Pages、Netlifyといったクラウドホスティングサービスや、改ざんされた正規Webサイトが悪用されていた。さらに、最終的なペイロード（攻撃者が送り込む実行ファイルやデータ）の保管・中継場所には、Amazon S3、Cloudflare R2、GitHub、DigitalOcean Spaces、Dropbox、GoFileなど、多様なクラウドストレージサービスが組み合わせて利用されている。

追跡の決め手となったフィッシングキットの共通痕跡

接続先となるドメインや悪用されるRMM製品が使い捨てのように次々と変更される一方で、攻撃の根底にある配信の仕組みには一貫した特徴が残されていた。これにより、研究チームは分散したインフラを一連のキャンペーンとして結びつけることに成功している。

具体的には、フィッシングキット内で共通して読み込まれるフォントファイル（font1.woff2）や、Microsoft Wordのアイコン画像（icons8-microsoft-word-94.png）などの共通アセットが特定された。また、secure.html から project/*.zip というパスを経由してファイルを配信する特徴的な構造や、パスワード付きZIPアーカイブを利用する手口なども、同一グループによる活動を示す重要な痕跡として確認されている。

検知手法の課題と行動コンテキストの重要性

ANY.RUNは今回の分析を踏まえ、ドメインの評価情報（レピュテーション）や単一の侵害指標（IOC：サイバー攻撃の痕跡となるIPアドレスやファイルハッシュ値などの情報）、あるいはマルウェア判定だけに頼る従来の検知手法では、こうした攻撃への対処が難しいと指摘している。

日次でドメインが変わり、導入されるソフトウェア自体が正規ツールである場合、単体の不審点だけでは悪用を見抜くことができない。同社は、セキュリティ運用チーム（SOC）が不正なリモートアクセスを的確に把握するためには、メール層でのアーカイブ対策やユーザーへの注意喚起に加え、ブラウザの挙動やスクリプト、実行プロセス、ネットワーク通信といった一連の振る舞い全体（コンテキスト）を可視化して分析することが不可欠であると説明している。