正規のリモート管理ツールを悪用するフィッシングが46カ国に拡大 — ANY.RUNが601件を分析、米国の活動が45%で最多

マルウェア解析基盤を提供するANY.RUNは2026年8月、カナダ国税庁（CRA）の税務書類を装うフィッシングが、46カ国に広がる大規模なRMM悪用キャンペーンの一端だと報告した。同社が関連付けた601件のうち約45%が米国に集中し、キャンペーン最大の標的になっている。最終的な狙いは、正規のリモート管理（RMM）ソフトを被害者にインストールさせて端末を遠隔操作することだ。日本も税務書類経路の観測対象に含まれており、無関係ではない。

何が起きたか

ANY.RUNの脅威速報によると、この攻撃の起点は2025年分のT4税務書類をかたるWord文書の誘引だった。被害者が文書を開くと、使い回し可能な偽文書キットが署名付きの正規RMMインストーラを届ける。攻撃者はその正規ソフトを遠隔操作の道具（RAT代わり）として悪用し、直接端末に入り込む。正規の商用ソフトのため、通常の署名ベースのウイルス対策では検出できず、動作も一般的なリモート管理と見分けが付かない。

規模は2段階で整理されている。CRA・T4文書経路は137件、フォント部品などで結び付けた広義の偽文書ファミリー全体ではキットURL 425件・ホスト240台・事例601件だ。活動期間は2026年1月から報告時点までで、月17〜33件の水準で継続した。1月の観測は1件のみで、2月以降に定着している。

地域別の内訳では、ファミリー全体の**米国45%、カナダ16%、インド10%、韓国4%**と続き、北米が全体の61%を占める。CRA・T4経路に限るとカナダ33.3%、米国31.8%で、日本は3.1%（137件中4件前後に相当）だった。同社はこれらを「確認された侵害ではなく観測地点の分布」として、標的の傾向を示す目安と位置付けている。業種ではMSSPや教育、テクノロジー、政府機関が上位に出た。

誘引の顔ぶれは地域ごとに作り替えられている。米社会保障局（SSA）、AdobeのPDF文書、請求書、VAT（付加価値税）通知、配送・UPS連絡、DocuSignなどだ。転用されたRMM製品は、この経路ではGoTo Resolve、LogMeIn Rescue、ITarianで、兄弟系統ではScreenConnectやConnectWiseも使われた。

配送基盤の特徴

攻撃基盤の使い捨てが激しい。VercelやGitHub Pages、Netlify、侵害サイトなどを配送に使い、ペイロードの配置にはAmazon S3やCloudflare R2、GitHub、DigitalOcean Spaces、Dropbox、GoFileといった正規サービスを混ぜる。観測した240ホストの94%は単日のみの出現で、ドメイン単位の blocklist では追い切れない。

一方、キット側には安定した指紋が残る。共通フォントfont1.woff2（識別子fmtt）、画像icons8-microsoft-word-94.png、secure.htmlからproject/*.zipへ運ぶ配送構造だ。同社はこれらの共通部品で、見かけ上ばらばらの基盤を同一キャンペーンに結び付けた。偽文書ページとパスワード付きZIPの組み合わせ、Telegramを使った被害者の選別も確認されている。

対策

ANY.RUNは報告の中で、防御側への提言を示している。

• 製品名に依存しない防御を組む。正規の署名付きRMMが使われ、製品は切り替え可能だ。特定ツールやウイルス対策の判定を前提にした統制では隙が生まれる
• RMMの導入自体を信号として扱う。どの製品であっても、新規の無料ホスティング由来や侵害WordPress経由の導入など、届き方に着目して検知する
• 使い捨てドメインではなく安定したキットの指標で検知する。共通フォントや画像、配送連鎖が有効だ
• メール層の統制と利用者の啓発を組み合わせる。パスワード付きアーカイブでの配送を想定する

日本の組織にとっても、請求書や税務通知を装う日本語誘引への転用は想定しておく必要がある。正規のリモートツールの導入申請や承認外の遠隔接続の有無を、平時から可視化しておきたい。

出典

• ANY.RUN「US-First RMM Phishing Campaign. Malware Analysis」（2026年8月24日） https://intelligence.any.run/reports/08-24-2026-cra-t4-rmm/