偽の「Zoom導入案内」はなぜ本物の遠隔操作ソフトを連れてくるのか。新しいフィッシングの手口を確かめる

何が起きているのか

Microsoftは2026年9月29日、セキュリティブログで、正規の遠隔監視・管理ソフト「RMMツール」を悪用したフィッシング攻撃について報告しました。Microsoft Defender Expertsは、2026年7月にこの攻撃活動を観測したとしています。

報告によれば、攻撃は会議の招待、ZoomやGoogleグーグル Meetの導入案内、Adobe関連のPDF更新通知、電子グリーティングカード、求人案内、荷物の配達通知などを装うフィッシングメールから始まります。メールに記載されたリンクを開くと、攻撃者が用意したランディングページに誘導され、そこからソフトのダウンロードが始まります。ダウンロード元には、攻撃者が管理するドメインや乗っ取られたウェブサイトに加えて、Amazon S3、Cloudflare R2、Dropbox、GitLab、Supabaseといった、普段から広く使われている正規のクラウドサービスも利用されていたとしています。

ダウンロードされるのは、電子署名付きの正規ソフト「MSP360 RMM」(バージョン2.5.0.67)のインストーラーで、偽装したファイル名で配布されていました。利用者がこのインストーラーを実行し、Windowsの「UACユーアック」(アプリがパソコンに変更を加えることを許可するかどうかを確認する画面)で許可を押してしまうと、サービスの登録や自動起動の設定、ファイアウォールの設定変更が行われ、遠隔管理のための接続が確立されます。その後、MSP360のエージェントがPowerShell(Windowsの操作を自動化する機能)を使って、別の遠隔操作ソフト「ConnectWise ScreenConnect」を静かにダウンロード・インストールします。Microsoftは、ScreenConnectというソフト自体の欠陥が悪用されたわけではなく、正規のソフトがそのまま悪用された点を強調しています。正規ソフトを連れてくるために、まず別の正規ソフトを使うという、ソフトの乗り継ぎのような手口だ。

ScreenConnectが導入された後、攻撃者はこのソフトの「RunFile」という機能を使って、認証情報の収集やデータの持ち出し、セキュリティ対策の回避に使う追加のツールを転送・実行していたとしています。これらのツールの一部は、WindowsやMicrosoft Defenderの構成ファイルに似せた名前が付けられていたとしています。また、同じ7月には、別の正規ソフト「FaronicsDeployAgent.exe」を使って同様にScreenConnectを導入する活動も観測されたとしています。なお、このとき悪用されたMSP360の電子署名用証明書は、その後失効させられたとMicrosoftは報告しています。

なぜ重要なのか

今回の手口が重要なのは、使われているソフトが「正規品」である点です。見慣れないファイル名の実行ファイルを警戒するという、よくある注意の仕方だけでは見抜きにくく、電子署名の確認やセキュリティソフトの検知をすり抜けやすいという特徴があります。また、ダウンロード元に広く使われている正規のクラウドサービスを利用することで、通信先のドメインだけで怪しさを判断することも難しくしています。

Microsoftは、被害を受けた組織の業種や規模について具体的な数字は示していませんが、「複数の業種にわたる組織」を標的にしたとしています。この手口は、特定の業界を狙ったものではなく、ビジネスでメールを使う組織であれば標的になり得る、広く汎用的な攻撃だといえます。

私たちへの影響

会社のパソコンを使う一般の利用者にとっての一番の教訓は、「Zoomを導入してください」「PDFリーダーを更新してください」といった、業務上よく見かける案内ほど、立ち止まって確認する価値があるという点です。特に、メール経由で届いたリンクから直接ソフトをダウンロード・実行する前に、WindowsのUAC画面で「このアプリがデバイスに変更を加えることを許可しますか?」と聞かれた際には、本当にそのソフトを入れるつもりだったかを一度振り返ることが有効です。

企業のIT管理者にとっては、Microsoftが挙げる対策が参考になります。承認済みのRMMツールにも多要素認証たよういんしょう(MFA)を必須にすること、Application ControlやAppLockerといった仕組みを使って、許可していないRMMソフトを発行元の証明書ごとブロックすること、普段使っていないRMMソフトが入っていないか定期的に確認し、見つかった場合は関係するアカウントのパスワードを変更することなどが挙げられています。

初心者が知っておくべきこと

「RMM(Remote Monitoring and Management)ツール」とは、企業のIT管理者やIT支援会社が、社内外のパソコンやサーバーを遠隔から監視・操作するために使う、本来は正規の業務用ソフトです。社内のIT部門や、パソコンの保守を委託している会社が、こうしたツールを使って遠隔サポートを行うことは一般的にあります。

「UAC(ユーザーアカウント制御)」とは、Windowsで、アプリがパソコンの設定やシステムに変更を加える前に、利用者に許可を求める仕組みです。見覚えのないアプリの許可画面が出た場合は、押す前に何のためのインストールか確認することが大切です。

Q. 会社から「このRMMツールを使ってサポートします」と案内された場合、今回の手口とどう見分ければよい? A. 出典で確認できた範囲では、今回の手口はメール内のリンクから利用者自身がインストーラーを実行する形で始まっています。社内のIT部門から事前に連絡があった上での遠隔サポートと、身元の分からないメールのリンクから始まるインストールとでは、経路が異なります。心当たりのない案内からのインストールには注意が必要です。

IT Postの見方――「正規品だから安全」が通じなくなった

IT Postは、今回の手口の一番の怖さは、攻撃者が「怪しいソフトを作る」手間を省き、「ちゃんと動く正規のソフトを借りる」方向に寄ってきている点だと考える。電子署名があるから安心、有名な会社のソフトだから安全、という単純な判断基準が、そのまま通じなくなってきているということだ。

そうなると、利用者側に求められるのは「このソフトは本物か」ではなく「このソフトを今、自分は本当に入れるつもりだったか」という、もう一段手前の確認になる。業務で使うツールの導入案内がメール経由で急に届いたら、いったん社内の窓口に確認する一手間を惜しまない組織文化を、IT Postとしては広めてほしいと考える。※個人の感想です

今後どうなりそうか

Microsoftは、今回悪用された証明書を失効させたと報告していますが、同様の手口が別の正規RMMソフトや別の証明書を使って繰り返される可能性については、発表時点では言及していません。IT Postでは、新しい事実が確認され次第、あらためて取り上げます。