正規のリモート管理ツールを悪用するフィッシングが46か国に拡大 — 45％が米国、使い捨てVercel基盤をANY.RUNが分析

マルウェア解析プラットフォームのANY.RUNは2026年8月25日、一見するとカナダを狙う税務フィッシングに見えた攻撃が、46か国に広がる大規模な遠隔操作キャンペーンの一端だったとする分析を公開した。攻撃者は各国の税務・社会保障・請求書・配送といった偽書類で受信者を誘い、正規のリモート監視・管理（RMM）ソフトを導入させて端末の遠隔操作権を奪う。最終的な実行ファイルが署名付きの市販ソフトであるため、通常のウイルス対策では検知できない点が特徴だ。

ANY.RUNが確認した全体像は、425件のキットURL、240ホスト、601件の解析事例に及ぶ。カナダ歳入庁（CRA）の2025年T4税務書類を装うWord誘引は137事例で、その背後に共通の配送キットでつながる広範な偽書類ファミリーが存在した。活動期間は2026年1月から現在まで続き、月17〜33件のペースで安定して観測されている。

46か国のうち45％が米国 — 教育・技術・政府が主な標的

地理的には米国への集中が鮮明だ。ファミリー全体の観測事例の45％が米国に関連し、北米が全体の61％を占める。一方で活動は46か国に広がり、35か国は各1％以下の散発的な観測だった。カナダは全体では16％だが、CRA／T4誘引に限ると33.3％に跳ね上がり、税務書類の誘引がカナダ納税者の確定申告時期に合わせた意図的な標的化だったことを示している。

業種別では教育、技術、政府が両データセットで上位に入り、銀行・製造・金融も請求書やVAT（付加価値税）誘引と対応して目立った。ANY.RUNは、技術セクターの多さはセキュリティチームによる投稿の多さの影響もうかがえる一方、教育と政府の露出は真の標的化を反映している可能性が高いとしている。なお数値は検体の観測地点であり、侵害の確定数ではない点に注意が必要だ。

誘引の顔ぶれは地域ごとに作り替えられている。CRAのT4のほか、米社会保障局（SSA）、AdobeのPDF文書、請求書、VAT通知、配送・UPS通信、DocuSignなどが確認された。同じ攻撃モデルを使い回しながら、標的の地域や業務文脈に合わせて書類の体裁だけを変える運用だ。

攻撃の流れ — Vercelの偽書類ページからパスワード付きZIPへ

攻撃はフィッシングメールから始まる。メール内のリンクは*.vercel.appなどの使い捨てドメイン上の偽書類ページへ誘導する。Vercelは正規のTLSと信頼できるドメイン、ワンコマンドでの再展開を備え、メールフィルターをすり抜ける信用と、捨てる惜しくない安さの両方を攻撃者に与えた。ANY.RUNによると、新規のVercel展開はほぼ絶え間なく現れ、観測例では登録からわずか1日後のものもあった。GitHub PagesやNetlify、侵害されたWebサイト、Amazon S3やCloudflare R2、Dropbox、GoFileなども payload の配置先に使われた。

ページはsecure.htmlへ転送し、アクセスコードを提示してパスワード付きZIPをダウンロードさせる。受信者が書庫を解凍して中のVBSスクリプトを実行すると、PowerShellが次の段階をダウンロードして正規RMMエージェントをインストールする。PowerShellはユーザープロファイルを避け、時間差を挟んでタイミング解析をかわし、MSI形式のRMMを導入する。導入後は攻撃者がキーボード操作レベルで端末を直接扱える状態になる。

確認されたRMM製品はGoTo Resolve、LogMeIn Rescue、ITarianで、兄弟系列ではScreenConnectやConnectWiseも悪用されていた。製品は交換可能で、特定製品のブロックでは止まらない構造だ。カバー工作として、正規のOneDrive基盤経由で無害なおとりPDFを開かせ、受信者に通常のダウンロードに見せかける手口も使われた。

キットの「筆跡」 — 使い捨て基盤でも残る共通痕跡

基盤の回転は速い。観測された240ホストのうち94％は1日しか現れなかった。一方でフィッシングキット自体はほぼ同一のページを使い回しており、共通の痕跡が残る。ANY.RUNが挙げる手がかりは、fmttというフォント名でimg/font1.woff2を参照する@font-face宣言、「PDF Icon」と誤表記されたままのWordアイコン画像（icons8-microsoft-word-94.png）、空のページタイトル、赤い読み込み表示（#rl）、ルートページ→secure.html→project/*.zipの3段階メタリフレッシュ、「Downloading 2025 T4 Form…」の文言とアクセスコード表示などだ。個別ドメインやRMM製品は使い捨てでも、配送構造は安定しているため、検知はこの共通痕跡に寄せるべきだとしている。

帰属について、ANY.RUNは共有の配送キットという切り口での分類にとどめ、特定の攻撃者名は挙げていない。単一の運営者か、共有のフィッシングキット（PhaaS）かは不明だとしている。Cloudflare、Kaseya／INKY、CyberArmorも同活動を報告しており、内容は整合しているという。

ANY.RUNの推奨 — 製品名ではなく配送経路と正規RMMの棚卸しで守る

ANY.RUNはセキュリティ責任者向けに、特定製品に依存しない防御を求めている。正規の署名付きソフトが悪用され、ベンダー間を切り替えられる以上、製品名やウイルス判定に寄った対策では抜け穴が残る。SOCは配送経路と不正なリモートアクセス活動に目を向け、RMMの導入自体を製品不問のシグナルとして扱うべきだとしている。

具体的な推奨は、使い捨てドメインに頼らずfmtt／font1.woff2やsecure.html→project/*.zipといった持続的なキット指標での検知、パスワード付き書庫の配送を想定したメール層の制御と利用者啓発、承認済みRMM製品の棚卸しと想定外の導入・動作の迅速な特定、そしてサンドボックスの振る舞い解析と脅威インテリジェンスを束ねた調査手順の整備だ。

日本の組織にとっても、請求書や税務・行政書類を装う誘引は他人事ではない。身に覚えのない書類メールで外部サイトへ誘導され、パスワード付きファイルの展開やソフトの導入を求められた場合は、配送経路の正当性を疑う姿勢が重要になる。

出典

• A Single Canadian Tax Lure Spread into a 46-Country, US-First RMM Campaign — ANY.RUN（2026年8月25日）