セキュリティアナリストは、請求書を装ったマクロ有効化済みのExcelファイルを用いて、ユーザー自身にデバイスを感染させるよう仕向ける、活発なランサムウェアキャンペーンについて緊急勧告を発令した。この攻撃は、ありふれているものの依然として効果的な手口に依存している。すなわち、通常の業務用請求書のように見える文書に、「コンテンツを有効化」するよう求めるプロンプトを組み合わせ、隠されたマクロを実行させるというものである。一度有効化されると、そのマクロはスクリプトを起動し、ランサムウェアをダウンロードしてインストールし、攻撃者にファイルをロックして身代金を要求する能力を与える。

この手法自体は新しいものではないが、それが依然として活発であり、新たな勧告を出すに値するほど効果的であるという事実は、現代のサイバー攻撃においてソーシャルエンジニアリングがいかに重要であり続けているかを示している。技術的防御は長年にわたり劇的に改善されてきたが、攻撃者はソフトウェアの脆弱性ではなく、人間の判断を狙うことで成功を収め続けている。

Excel請求書詐欺の仕組み

勧告によると、このキャンペーンはマクロ有効化済みのExcel文書、すなわち.xlsm拡張子を持ち、マクロと呼ばれる埋め込みスクリプトを実行できるファイルを中心としている。マクロはもともとスプレッドシート内の反復作業を自動化するために設計されたが、ユーザーが許可を与えた瞬間にコードを実行できるため、マルウェアの配信メカニズムとして長らく悪用されてきた。

このキャンペーンでは、悪意のあるスプレッドシートは正規の請求書のように装われている。この形式は日常的な業務連絡を模倣するため、受信者の警戒心を自然に緩める。ファイルを開くと、Excelは通常セキュリティ警告を表示し、デフォルトでマクロをブロックする。攻撃が成功するのは、被害者が手動でその保護を無効化した場合のみであり、通常はマクロを有効化しなければコンテンツが読めないと主張する偽の通知が文書に含まれているためである。

一度その障壁が突破されると、埋め込まれたマクロは外部サーバーにアクセスし、追加の悪意のあるコードをダウンロードし、被害者のシステムにランサムウェアを展開するスクリプトを起動する。そこからファイルは暗号化され、身代金のために人質にされる可能性があり、標的が誰であるかによって個人データ、業務運用、あるいはその両方を混乱させる。

スクリプトベースの配信が検知しにくい理由

この種の攻撃が持続する理由の一つは、スクリプトベースの配信が一部の従来の検知ツールをすり抜ける可能性があることである。攻撃者はランサムウェアのペイロードをExcelファイルに直接埋め込むのではなく、マクロを発射台として使用し、悪意のあるコードを別途取得する。この段階的なアプローチにより、真に有害なコンポーネントはスクリプトが実行されるまで存在しないため、初期の文書が自動スキャンツールにとって疑わしく見えにくくなる可能性がある。

これは、攻撃者が悪意のあるコードをセキュリティソフトウェアを通過させるために、多層的または偽装された手法を用いるという、より広範な傾向を反映している。vpn.socialが報じた別の事例では、ロシアのハッカーが偽の核プロンプトを使ってAIスキャナーを欺いたのであり、悪意のあるスクリプト内に埋め込まれたもので、脅威アクターが力ずくの技術的エクスプロイトだけに頼るのではなく、自動防御を混乱させたり回避したりするために特別にペイロードを設計しているもう一つの例である。

これがあなたにとって意味すること

日常のユーザーや中小企業にとって、このキャンペーンは、ランサムウェアが必ずしも高度な技術的エクスプロイトを必要とするわけではないということを思い起こさせるものである。多くの場合、正規に見えるファイルの「コンテンツを有効化」を一人の人間がクリックするだけで十分である。請求書、領収書、請求関連文書は、緊急性や日常的な義務感を生み出し、人々がファイルを開く前に立ち止まって精査する可能性を低くするため、特に効果的な誘い文句となる。

あなたの仕事または個人のメールが定期的に請求書、発注書、財務添付ファイルを伴う場合、このキャンペーンは真剣に受け止める価値がある。侵害されたデバイスを通じて展開されたランサムウェアは、共有ドライブ、クラウド同期フォルダ、接続されたネットワークに拡散する可能性があり、一度の不注意なクリックが一台のコンピューターをはるかに超える影響をもたらす可能性がある。

実行可能な要点

予期しない請求書の添付ファイルには注意して扱うこと。特に、見慣れない送信者や、実際のベンダーを模倣した見慣れないメールアドレスからのものには注意が必要である。その出所が確実で、そうする具体的な業務上の理由がない限り、Office文書のマクロを有効化しないこと。ほとんどの正規の文書はマクロを必要としないため、Excelおよびその他のOfficeアプリケーションでマクロ設定をデフォルトで無効にしておくこと。ランサムウェアがあなたの唯一のコピーを人質にできないよう、重要なファイルの定期的なオフラインバックアップを維持すること。多くの検知ツールがこれらの進化するスクリプトベースの配信手法を捕捉するために継続的に改良されているため、エンドポイントセキュリティソフトウェアとオペレーティングシステムを最新の状態に保つこと。

このようなランサムウェアキャンペーンは、技術的な弱点だけでなく、信頼と日常業務を悪用することで成功する。予期しない添付ファイルに警戒し、ファイルを開く前に送信者を確認し、マクロをデフォルトで無効にしておくことは、個人と組織の両方が利用できる最もシンプルで最も効果的な防御策であり続けている。