本物のZoom会議が“感染完了”を隠す リアルと偽物が融合する新型攻撃を解説：LLMが変えたサイバー犯罪の現在地

本物のZoom会議、実在する女性とのライブチャット、正常に動くソフトウェア。最新のサイバー攻撃は、ユーザーに「怪しい」と感じさせない“合法な体験”そのものを武器にし始めている。生成AIをフル活用した最新攻撃の実態に迫る。

[田渕聖人，＠IT]

　フィンランドのセキュリティ企業ウィズセキュアは2026年5月25日、現代の脅威アクターが最新のテクノロジーとエコシステムを駆使して展開する、極めて巧妙なサイバー攻撃キャンペーンに関するメディア説明会を国内向けに開催した。

WithSecureのCISO（最高情報セキュリティ責任者）であるクリスティン・ベヘラスコ氏（筆者撮影）

　説明会に登壇したWithSecureのCISO（最高情報セキュリティ責任者）であるクリスティン・ベヘラスコ氏は、現在のサイバー犯罪の現状を「産業化」という言葉で表現した。現代のサイバー犯罪は、イニシャルアクセスブローカー（IAB）やサービス、マーケットプレースなどが緻密に連携する一つの巨大な「サプライチェーン」として機能しており、国家の支援を受ける高度なハッカー集団であっても、これら民間、あるいはアンダーグラウンドの犯罪組織からツールやインフラを調達して攻撃を展開しているという。

　「攻撃者はシステムに強引に侵入するのではない。彼らは正規の方法を偽り、標的によって『招かれる』のだ」とベヘラスコ氏は指摘する。盗まれたセッショントークンや、巧みに構築されたなりすましが、守るべき資産の扉を開く鍵として悪用されている。

　さらに最近は、ここに「AIによる加速」が加わった。生成AIや大規模言語モデル（LLM）の登場は、攻撃のあらゆるフェーズを劇的に圧縮した。かつて防御側には、攻撃を検知してから対処するまでに数日間の猶予があったが、現在ではそれが「数分間」にまで短縮されているという。

国家直属ではない？　“雇われ型サイバー犯罪集団”の不気味な実像

　WithSecureのサイバー脅威インテリジェンスチームが今回、詳細な分析結果を明かしたのが「GREYVIBE」と呼ばれる脅威グループだ。同グループの活動には以下のような明確な特徴が見られるという。

• 活動時間帯の合致：攻撃の実行やインフラの稼働時間帯が、モスクワ時間（UTC+3）に極めて正確に一致している
• ターゲットの偏り：被害組織のほとんどがウクライナの政府機関やエネルギー企業、あるいはウクライナ軍に関連する組織
• 一貫したプレイブック：複数の異なるキャンペーンを展開しているにもかかわらず、その攻撃チェーン（ルアー→バンドル→ローダー→ペイロード＋デコイ）の設計思想が完全に統一されている。

　ベヘラスコ氏は、今回の調査データの収集方法について「主にオンラインの脅威インテリジェンスプラットフォーム『VirusTotal』に投稿されたサンプルやデータを基に、これらの攻撃チェーンを追跡・抽出した」と明かす。プラットフォームへの投稿ログを精査すると、ウクライナ国内の一般組織や関係者から不審なファイルとしてアップロードされている形跡があり、実際に現地のデバイスに到達し、発見されていたことが裏付けられているという。

　ただし、ベヘラスコ氏は「彼らがロシアの国家機関そのものであるとは断定していない」と強調する。「データ分析の結果から見えてくるのは、ロシア政府直属の組織というよりも、ロシアの利益のために雇われて動いていると見受けられるサイバー犯罪集団の姿だ。彼らはアンダーグラウンドで既に機能しているオファリング（攻撃サービス）を保有しており、ロシアがこれを使えるということは、明日には他の組織や別の国家アクターも全く同じ手法を流用できるということを意味している」と警鐘を鳴らした。

　また、GREYVIBEが純粋な国家スパイ組織ではなく、サイバー犯罪組織としての側面を強く残している根拠として、攻撃の痕跡から、過去に注目を集めた高度なバンキング型トロイの木馬「TrickBot」のアフィリエイトとISOビルダーを共有していた形跡が見つかっていることや、一部の被害組織のデバイスに、金銭目的とみられる暗号資産マイナー「XMRig」を展開していた事実が挙げられた。

　「興味深いのは、攻撃者であるGREYVIBE自身も、このVirusTotalを『自分たちがLLMで新しく開発したマルウェアが、現在のセキュリティ製品に検知されるかどうか』をテストするための検証環境として悪用していた点だ」とベヘラスコ氏は語る。

　彼らが開発途中の未洗練なサンプルを自らアップロードしていたことが、同社の迅速な検知とプロファイリングにつながったという。

　「彼らが国家直属の極めて洗練された組織であれば、セキュリティ企業がVirusTotalを監視していることを熟知しているため、このような不用意な足跡は残さないはずだ。この点からも、彼らが『国家に雇われた民間出自のサイバー犯罪集団』であるというわれわれの推測が裏付けられる」（ベヘラスコ氏）

「感染したこと」に最後まで気付けない　5つの攻撃キャンペーン

　GREYVIBEの最大の特徴は、標的に「攻撃を受けている」と一切気付かせないための「ペイロード（悪意あるプログラム）」と「デコイ（おとり）」を組み合わせた高度なロジックである。説明会では、実際に観測された5つの洗練されたキャンペーンのケーススタディーが紹介された。

1．PhantomMail（ファントムメール）

　「PhantomMail」はウクライナ政府や国防関連機関を巧妙に装ったスピアフィッシングメールを使う攻撃だ。2025年9月には、ウクライナ防衛産業のサイバーセキュリティ対策に関するPDF偽造文書が投下された。

　このPDFを標的が開くと、本物そっくりの「Windows」のエラーポップアップが表示される。被害者は単に「ファイルが壊れていて開けなかっただけだ」と思い込み、不審に感じてセキュリティチームに報告するような調査の必要性を感じない。しかし、その裏ではバックグラウンドでJavaScriptローダーが走り、リモートアクセス型トロイの木馬「Phantom Relay」がひそかに起動・感染を完了させている。

実際に確認されたPhantomMailのPDF（ウィズセキュア提供資料）

2．PhantomClick（ファントムクリック）

　「PhantomClick」は、Webサイトの指示に無意識に従ってしまうユーザーの心理的な隙を突いた、巧妙なソーシャルエンジニアリング攻撃「ClickFix」を悪用し、被害者自身の「手」で攻撃コマンドを実行させる極めて悪質なキャンペーンだ。

　標的はまず、ウクライナ大統領府からの公式文書風PDFに記載された、正規の「Zoom」会議リンクにアクセスさせられる。リンクをクリックすると、ウクライナ語で書かれた偽の「Cloudflareセキュリティチェック」ページが表示される。ここでページ側は「認証エラーを解決するため」として、特定のコマンドをクリップボードにコピーし、WindowsのPowerShellを開いて貼り付けて実行するよう指示を出す。

　被害者が指示通りにコマンドを実行すると、Webブラウザは何事もなかったかのように本来参加するはずだった本物のZoom会議へとリダイレクトされる。会議は何のエラーもなく正常に進行するため、被害者は自らがマルウェア（Phantom Relay）の感染のトリガーを引いたことに全く気が付けない。

3．PrincessClub（プリンセスクラブ）

　「PrincessClub」は、プライベートな空間を狙い、人間の心理的な隙を突く「ハニートラップ型」のキャンペーンだ。ターゲットの多くは、最前線にいるウクライナ軍の関係者であると分析されている。

　攻撃者はチャットアプリ「Telegram」で女性モデルのペルソナ（偽の人格）を構築して標的に接触し、時間をかけて親密な信頼関係を築いた上で、偽のアダルトクラブサイトに誘導する。このWebサイトの作り込みは驚くほどリアルであり、実在する都市の住所や料金、写真・動画付きのモデルプロフィールが精巧に掲載されている。

　Webサイト内の写真や動画には最初はモザイク（ぼかし）がかかっており、これを解除するために「K-Lite Codec Pack」という動画再生用ソフトウェアをインストールするよう促される。指示通りにインストーラーを実行すると、実際にモザイクが外れてモデルとのライブビデオ通話が可能になるため、標的は異常を疑わない。

　だがその裏では「Android」デバイスであれば「FallSpy」というスパイウェアが、Windowsであれば「Legion Relay」や「Phantom Relay」といったRATが潜入している。

　このPrincessClubで表示される女性モデルについて、ベヘラスコ氏は「われわれのアナリストチームも最も注視し、深く分析を試みた部分だ」と語る。結論から言うと、表示されるモデルの映像や音声はAIがリアルタイムに生成したディープフェイクではなく「実在する人間」である可能性が極めて高いという。

　「調査から、Webサイトの裏側に『モデル自身が画面にログインするための専用ポータル』が実装されていることが分かった。完全にAIだけで自動生成された架空のモデルであれば、このような人間用のログインサイトをわざわざ構築する必要はない。つまり、このサイバー犯罪組織は、標的であるウクライナ軍人から価値ある『ヒューマンインテリジェンス』や現地の機密情報を引き出すためだけに、本物の人間を実際に『雇用』して、おとりのライブチャットを運用させていると考えられる。サイバー空間の攻撃と、現実世界の人的スパイ活動が完全に融合した極めて組織的な手口だ」と、その生々しい実態を明かした。

リアルとフェイクを融合させた、ウクライナの軍人を標的にした高度なソーシャルエンジニアリングキャンペーンがPrincessClubだ（ウィズセキュア提供資料）

4．DroneLink（ドローンリンク）

　ウクライナ軍を支援したいという善意を悪用した、偽のドローン慈善活動サイトを使った攻撃もある。

　「UkrVarta」や「Front Force」といった実在組織を装ったWebサイトには、ミッションステートメントや透明性レポート、提携パートナー一覧、現在の寄付総額などが精緻に掲載されており、一見して正当な慈善団体にしか見えない。Webサイト内で「ドローン調達仕様書」などのフォームをダウンロードさせ、記入を促す。

　このダウンロードの過程で「HTMLスマグリング」技術が使われ、ショートカットファイル（.lnk）を含むアーカイブが配信される。これが実行されると、Windowsの正規プロセス（RuntimeBroker.exe）にカスタムシェルコードが注入され、攻撃者が外部からデバイスを遠隔操作できる「リバースシェル」が確立される。最終的には、キーロギングや画面キャプチャー、ファイル窃取機能を持つカスタムの.NET RATが展開される。

5．Nebo（ネボ）

　Neboはこれまでのキャンペーンとは異なり、ロシア語によって構築された異色のキャンペーンだ。

　「SPO NEBO」と呼ばれる、ロシア軍の軍事端末や防空レーダーシステムを模したとみられる精巧なログイン画面が用意される。標的（ロシア軍関係者や敵軍のシステムを調査しようとするウクライナ側の人員）には、あらかじめハードコードされた認証情報が与えられており、ログインを試みると「偽のアップデートプロセス」のプログレスバー（初期化、モジュール読み込み、ドライバーインストールなど）が詳細に表示される。

　プロセスが100％に達すると、最終的に「互換性エラー：お使いのシステムはサポートされていません」というメッセージを出して終了する。被害者は「自分のPCのスペックや環境が合わなかっただけか」と納得して諦めてしまうが、その表示の裏で、Androidであれば連絡先や通話履歴、位置情報を抜き取るスパイウェアが起動し、Windowsであれば裏でローダーが作動してRATが送り込まれている。

　ベヘラスコ氏は、これらのキャンペーンが「ワイパーなど情報を破壊する目的ではなく完全に情報を抜き出すスパイ活動に特化している」と説明する。ウクライナに仕掛けられているサイバー攻撃全体を見渡せば、もちろんワイパー攻撃なども確認されているが、今回調査したGREYVIBEについては、一貫して情報の窃取のみに注力しているのが特徴だという。

攻撃者はAIに「検知回避」まで相談していた

　ウィズセキュアが今回の分析で特に強調したのが、GREYVIBEが展開するほぼ全てのサイバーキルチェーンで生成AI（LLM）が全面的に活用されていたという事実だ。

　攻撃者が構築したアセットやコード、画像などの痕跡からは、「Ideogram」「ChatGPT」「Gemini」といった著名な商用AIサービスのメタデータや、AI生成特有のデータの偏りが多数検出された。

　ベヘラスコ氏によれば、唯一「バンドル」のフェーズ（ファイルをまとめてZIPやRARアーカイブにする単純作業）だけはAIの関与が見られず、従来通りの機械的・手動的なパッケージングが実行されていたという。しかし、それ以外のルアーの文面作成、フェイクサイトのリアルな画像生成、マルウェアコードの記述、さらには難読化ツールの開発に至るまで、ほぼ全ての工程がLLMの支援を受けていた。

　驚くべきことに、マルウェアのソースコード内からは、LLMがオペレーターのプロンプト（指示文）に応答して出力した際のコメント文が、削除されずにそのまま残った状態で見つかっていたという。

　例えば、攻撃者が「バックグラウンドで隠密に実行するロジックを組んでくれ」とAIに依頼したとき、AIは「標準のconhostではターゲットでヘッドレスをサポートしていないためサイレントに失敗します。標準的な代替案として、WindowsスタイルをHiddenにしたPowerShellを使うべきです」とアドバイスしていた。

　さらに、AIが手法のコードに付けた「Universal Launcher Script（Payload＋Decoy Logic）」という名称までもが、実際の攻撃インフラのファイル名や内部名としてそのまま使用されていた。

　ベヘラスコ氏は「攻撃者は単にフィッシングメールの文章を整えるためだけにAIを使っているのではない。どのようなコードを書くべきか、どのようにセキュリティ製品の検知を回避すべきかといった『ブレインストーミング』の段階から、AIを積極的に活用し、キルチェーン全体を自動化・高速化させている。これが現代の脅威の本質である」と、事態の深刻さを訴えた。

〜記者の目：ニュースをちょっと深掘り〜

GREYVIBEの調査結果は、地政学的な緊張が続くウクライナ周辺での出来事であり、一見すると日本企業にとっては「遠い世界の紛争地域における話」に映る。しかし、それは誤りだろう。ベヘラスコ氏が指摘した通り、民間のサイバー犯罪エコシステムから調達した攻撃ツールや、LLMによって最適化された攻撃プレイブックは、瞬時に世界中のアンダーグラウンドマーケットへと還流し、一般化するからだ。つまり、今日ウクライナのエネルギー機関を襲った高度なAI悪用攻撃は、明日には日本の製造業や重要インフラを標的とした金銭目的のランサムウェア攻撃として、そのまま流用される可能性がある。

特に日本企業にとって大きな脅威となるのは、AIがもたらす「言語の壁の突破」と「エラーを伴わないデコイ」の融合だろう。これまで、日本を標的とした海外からのフィッシングメールやソーシャルエンジニアリングは、日本語特有の不自然な表現やフォントの違和感によって、従業員の現場レベルの“直感”で気が付き、防げるケースが多かった。しかし、GREYVIBEがウクライナ語やロシア語の公式文書をAIで完璧に偽造したように、現在のLLMを使えば、日本の省庁のレターヘッドを模した公文書風PDFや、社内の総務・法務部門からの通達メールを、違和感のない「完璧なビジネス日本語」で大量生成することが極めて容易になるはずだ。

さらに深刻なのは、攻撃に「合法な体験」が巧みに組み込まれている点だ。PhantomClickの事例のように、不審なリンクをクリックした結果、最終的に自分が本当に参加したかった本物のZoom会議に何のエラーもなく接続されたとしたら、ITリテラシーの高い技術者であっても、その過程で自らのクリップボードから悪意あるコマンドを実行させられたことに気が付くのは不可能に近い。PrincessClubのように、要求されたソフトウェアをインストールした結果、目的のコンテンツが正常にアンロックされるという「正しいインセンティブ」が与えられるフローの前では、従来の「怪しいサイトには近づかない」「エラーが出たらシステム部門に報告する」というセキュリティ教育は完全に無力化される。

ではAIによって高速化・巧妙化された脅威に日本企業はどう対抗すればいいのか。

1つ目は、人間に依存するセキュリティ体制から脱却し、運用ではなく仕組み・ルールで守る体制を整えることだ。PhantomClickの手口は、WebブラウザからPowerShellにコマンドをコピー＆ペーストさせるという「人間の行動」を介しているが、システム側で「ブラウザプロセスや一般ユーザー権限からの不要なPowerShellの起動」や「不審な引数を伴うスクリプト実行」を厳格にブロック、あるいはEDR（Endpoint Detection and Response）で即座に隔離する設定になっていれば、ユーザーがだまされて実行してしまったとしても被害は最小限に食い止められる。

2つ目は、アイデンティティー管理の抜本的な強化だ。ベヘラスコ氏が言ったように、攻撃者は脆弱性を突いて力任せに侵入するのではない、盗んだトークンやIDを使って、正規のユーザーとしてシステムに「招かれて」入ってくる。これに対抗するには、多要素認証（MFA）の導入だけでなく、認証後のセッションであってもアクセス元のIPアドレスやデバイスの状態が不審または急激に変化した場合に動的にアクセス権を取り消す「継続的認証」の実装が急務となる。

Anthropicが公開した「Claude Mythos Preview」に代表されるように、「AIによる加速」があらゆるフェーズを劇的に圧縮する中、企業の防御体制にも変化が迫られている。ただそれは「攻撃側に対抗して今すぐAIを導入すべき」という極端な話ではない。先に挙げた対策に加えて、IT資産の洗い出しや、脆弱性の把握およびパッチ適用、インシデント対応時の動き方を決めておくといった、基本的だがこれまでできていなかったセキュリティ対策を徹底することが必要だと記者は考えた。（田渕聖人）