Forescoutが偽グリーティングカードを悪用したAI支援フィッシングキャンペーンを発見

新たな調査でForescoutが、季節のグリーティングカード(eカード)の招待状に見せかけたフィッシングキャンペーンを発見しました。このキャンペーンは被害者を騙して正規のリモート管理ソフトウェアをインストールさせ、攻撃者に侵害端末への長期的なアクセス手段を与えるものです。

ForescoutのVedere Labsが「SeasonalInvite」と名付けたこのキャンペーンは、少なくとも2026年1月から活動を続けています。サイバー犯罪者がソーシャルエンジニアリング、信頼された企業向けソフトウェア、そしてAI支援による開発手法を組み合わせ、従来型のセキュリティ対策をすり抜けようとしている実態を浮き彫りにしています。

調査の全文はこちらで公開されています: SeasonalInvite研究レポート

偽のeカードで被害者を誘導

レポートによると、攻撃者はフィッシングメールを季節のeカード招待状に偽装し、ユーザーに正規のリモート監視・管理(RMM)ツールをインストールさせようとします。

このキャンペーンでは従来型のマルウェアを展開する代わりに、IT管理者がリモートサポートで一般的に使用する市販ソフトウェアが悪用されています。インストールが完了すると、これらのツールは攻撃者に侵害システムへの持続的なリモートアクセス手段を提供します。

このキャンペーンはWindowsとmacOSの両方のユーザーを標的としています。

Forescoutは調査の過程で、以下4種類の正規RMMプラットフォームが悪用されていることを確認しました。

• ConnectWise ScreenConnect
• LogMeIn Resolve
• Kaseya
• O&O Syspectr

これらのアプリケーションは企業環境で広く信頼されているため、従来型のセキュリティ制御をすり抜けやすくなっています。

数百件のフィッシングドメインを確認

研究者らは、このキャンペーンを支える大規模なインフラを特定しました。その中には、電子グリーティングカードをテーマにした959件のドメインが含まれています。

攻撃者はさらに、2,658件のゲートページで構成される高度なトラフィック分配システム(TDS)を運用していました。このインフラは、正規の被害者をフィッシングサイトへ誘導する一方で、自動化されたセキュリティスキャナーによる悪意あるコンテンツの検出を防ぐよう設計されていました。

Forescoutによると、この手法により、セキュリティ研究者や自動検知システムがこのキャンペーンを特定することが著しく困難になっているとのことです。

フィッシングページはAI生成の可能性

このレポートで特に注目すべき発見の一つは、フィッシングキット自体が人工知能の支援を受けて作成された可能性を示す証拠です。

研究者らは、フィッシングページにAI生成コードの痕跡があることを発見しました。この結果から、脅威アクターが大規模言語モデルを使って配信ページを構築し、時間の経過とともにキャンペーンを迅速に改変していたと研究者らは考えています。

今回の発見は、サイバー犯罪者がフィッシング活動を加速させ、開発時間を短縮し、説得力のある攻撃インフラを迅速に生成するためにAIを利用するという傾向が強まっていることを反映しています。

信頼されたソフトウェアが攻撃の入口に

Forescoutは、SeasonalInviteが、組織がすでに信頼している正規の企業向けツールを悪用する方向へと攻撃者がシフトしている実態を示していると述べています。

ソーシャルエンジニアリングと正規のリモート管理ソフトウェア、そしてAI支援による開発を組み合わせることで、脅威アクターは多くの従来型エンドポイントセキュリティ対策をすり抜けながら、被害端末への長期的なアクセスを維持できます。

研究者らは、こうした攻撃を検知するためにマルウェア検出だけに頼るべきではないと警告しています。その上で、リモート管理ツールの不正なインストールや使用状況の監視、フィッシング対策の意識向上トレーニングの強化、そして悪意あるファイルの検出だけでなく不審な挙動を検知できる制御の導入を推奨しています。

攻撃者が手口を洗練させ続ける中、SeasonalInviteのようなキャンペーンは、信頼されたソフトウェアと人工知能が現代のサイバー犯罪者にとって強力な武器になりつつあることを浮き彫りにしています。