ここ1年で7倍に増えたn8nを悪用したデバイス追跡とマルウェア配布の手口：夏休みに振り返る2026年上半期ニュース（1/2 ページ）

Cisco Talosは、AIワークフロー自動化プラットフォーム「n8n」を悪用したフィッシングキャンペーンの増加を確認した。攻撃者は正規サービスを通じてマルウェア配布やデバイスフィンガープリンティングを自動化しているという。

[＠IT]

夏休みこそ「振り返り」

目前の課題解決、緊急の障害対応など、IT部門の日常は非常に多忙。そうした中で、「中長期的な視点を持とう」「攻めと守りを両立せよ」「ビジネスに貢献せよ」などと言われても、なかなか難しいものです。それならば、せめて夏休みの間だけでも上半期の振り返りをしてみてはいかがでしょうか。ここでは、この夏にもう一度読みたい「ヒットニュース」をピックアップ。働いている人もそうでない人も、冷たい飲み物片手に追えていなかった情報を見返してみてはいかがでしょうか。

初出：2026年6月15日　文中の記述は掲載当時のママ

　Cisco Systemsの脅威インテリジェンス部門Cisco Talosは2026年4月15日（米国時間）、AIワークフロー自動化プラットフォーム「n8n」が脅威アクターに悪用され、フィッシングキャンペーンの基盤として利用されていることを公表した。

　攻撃者は正規の自動化プラットフォームを武器化することで、マルウェア配布からデバイスフィンガープリンティングまでを自動化している。デバイスフィンガープリンティングとは、デバイス固有の情報を収集して、ユーザーのデバイスを識別する技術のこと。攻撃者は、信頼されたサービスを悪用することで従来のセキュリティフィルターを回避し、生産性ツールを持続的な遠隔アクセスの配送路に変えているという。

n8nのWebhook URLを含むメール数の推移（提供：Cisco Talos）

　Cisco Talosは2025年10月から2026年3月にかけて、n8nを悪用するメールの増加を観測。2026年3月のn8nのWebhook URLを含むメール量は、2025年1月と比較して約686％増加したとしている。

n8nとは何か

　n8nは、「Slack」「GitHub」「Googleスプレッドシート」といったHTTPベースのAPIを持つWebアプリやサービスを接続し、自動化されたワークフローを構築するプラットフォーム。コミュニティーライセンス版は組織が自己ホストでき、商用版「n8n.io」にはWebベースのAPIを使って文書やデータソースからデータを取得するエージェントを作成できるAI機能が含まれる。

　ユーザーは初期費用なしでn8n開発者アカウントに登録でき、登録時に「tti.app.n8n[.]cloud」上にサブドメインが作成される仕組みになっている。Cisco Talosは2026年初頭に、別のAI指向Webアプリサービス「Softr.io」が、一連の標的型攻撃でフィッシングページの作成に使われていたことも観測している。

Webhookが悪用される仕組み

　Cisco Talosの調査によると、n8nのAIワークフロー自動化プラットフォームで悪用の主要ポイントとなっているのは、URLで公開されるWebhookだ。Webhookは、あるアプリが別のアプリにリアルタイムで情報を提供するための仕組みで、「リバースAPI」とも呼ばれる。URLにアクセスがあると、後続のワークフローステップが起動して要求元アプリにHTTPデータストリームとして結果を返す。

n8nのWebhook URLの構造例（提供：Cisco Talos）

　URLがメール経由でアクセスされた場合、受信者のWebブラウザが受信アプリとして機能し、出力をWebページとして処理する。Webhookはデータ配信元を隠蔽（いんぺい）できるので、信頼されたドメインから発信されたように見せ掛けながら、ペイロードを配信できる。リクエストヘッダ情報などのトリガーイベントに基づいて異なるデータストリームを動的に配信できるので、フィッシング実行者はuser-agentヘッダに応じてペイロードをカスタマイズできる。