ここ1年で7倍に増えたn8nを悪用したデバイス追跡とマルウェア配布の手口：夏休みに振り返る2026年上半期ニュース（2/2 ページ）

Cisco Talosは、AIワークフロー自動化プラットフォーム「n8n」を悪用したフィッシングキャンペーンの増加を確認した。攻撃者は正規サービスを通じてマルウェア配布やデバイスフィンガープリンティングを自動化しているという。

[＠IT]

マルウェア配布への悪用

　Cisco Talosは、「Microsoft OneDrive」の共有フォルダを装ったメール内に、n8nでホストされたWebhookリンクを使うフィッシングキャンペーンを観測した。リンクをクリックすると、対象ユーザーのWebブラウザでCAPTCHAを含むWebページが開き、CAPTCHAを完了するとダウンロードボタンが表示される。ペイロードは外部ホストからダウンロードされるが、全プロセスがHTMLドキュメントのJavaScript内で完結するため、Webブラウザ上ではn8nドメインからのダウンロードに見える。

　このケースでは、ペイロードは自己解凍アーカイブを装った「DownloadedOneDriveDocument.exe」という実行ファイルだった。実行すると、RMM（Remote Monitoring and Management）ツール「Datto RMM」の改変版がインストールされてPowerShellコマンドの連鎖が実行される。

　PowerShellコマンドは、Datto RMMツールを抽出、構成してスケジュールタスクとして設定し、起動することで「centrastage[.]net」ドメイン上のリレーへの接続を確立した後、自身とペイロードの残りを削除する。

Webhook経由で配信されるマルウェアの攻撃チェーン（提供：Cisco Talos）

　Cisco Talosは、別のペイロードを配信するために同様にn8n Webhookを利用した類似キャンペーンも観測した。このCAPTCHAコードは先のケースよりも単純で、CAPTCHAを解くと、悪意を持って改変されたMicrosoft Windows Installer（MSI）ファイル「OneDrive_Document_Reader_pHFNwtka_installer.msi」が配信される。

　このペイロードは解析対策パッカー「Armadillo」で保護されており、バックドアとしてRMMツール「ITarian RMM」を悪用する。「msiexec.exe」で実行されると、ITarian RMMの改変版がインストールされ、Pythonモジュールで標的システムから情報を窃取する。この過程で偽のインストーラーGUIがプログレスバーを表示し、完了後にバーが0％にリセットされてアプリが終了することで、インストール失敗の印象を演出する。

デバイスフィンガープリンティングへの悪用

　Cisco Talosは別の一般的な悪用事例として、デバイスフィンガープリンティングを観測している。これはメール内に透明な画像（トラッキングピクセル）を埋め込むことで実現される。HTMLタグ「img」が使用されると、メールクライアント（Microsoft OutlookやGmailなど）は指定URLから画像を取得するよう指示される。

　メールクライアントが画像を読み込もうとすると、指定されたアドレス（n8nのWebhook URL）に自動的にHTTP GETリクエストを送信する。これらのURLには被害者のメールアドレスなどのトラッキングパラメーターが含まれており、サーバ側でどのユーザーがメールを開封したかを正確に特定できる。

　画像は「display」と「opacity」のCSSプロパティによって不可視化されている。Cisco Talosは、ギフトカードの新機能を紹介する別のスペイン語のスパムメールでも、同じ手法でメール開封追跡とデバイスフィンガープリンティングが行われていたことを確認している。

n8nが悪用されたスペイン語のデバイスフィンガープリンティングメールの例（提供：Cisco Talos）

防御側に求められる対応

　Cisco Talosは、AIワークフロー自動化プラットフォームの悪用に対して、より高度な振る舞いベースの検知への移行が必要だと指摘している。対策としては、セキュリティ専門家との脅威インテリジェンスの共有、AIを活用した検出機能を備えたメールセキュリティの導入を推奨している。