AIリスク2026年10月22日（木）
③ opencodeが文書の作成に使われたフィッシング、Windowsの実行経路を追う
自然な文章と整った体裁の文書に、実行可能なショートカットが紛れることがあります。ZIPからPowerShell、外部ダウンロード、タスク登録までの動作を追います。
本文
韓国のGeniansは9月7日、8月11日から19日に収集した韓国語の攻撃活動に関わる悪意あるLNKファイル13件を分析したと公表しました。一部のPDFのメタデータにopencodeの痕跡があり、攻撃者がこのコーディングエージェントを使って金融・企業文書を装うファイルを作ったと分析しています。
財務、調達、海外取引の担当者は社外から文書を受け取る機会が多いため、メールだけでなく、転送、チャットなどの共同作業ツール、共用端末も確認してください。
- 01
文書を装って配布
金融や企業の文書を題材にして圧縮ファイルを開かせます。
- 02
偽装されたショートカットを開く
ZIP内のLNKが通常の文書に見えるよう偽装されています。
- 03
システムツールで取得
PowerShellがGitHubなどからファイルを取得します。
- 04
実行を継続
非表示のスケジュールタスクで後続の動作を開始します。
対応の手順：外部との境界から内部システムまで
- 01
受信時にファイルを確認
メールの入口で圧縮ファイル内のLNKを確認し、チャットや他のダウンロード経路にも対策を用意します。
対応策を見る関連情報 1件
TWISA会員企業の対策
受信時にファイルを確認
メールの入口で圧縮ファイル内のLNKを確認し、チャットや他のダウンロード経路にも対策を用意します。
- 02
ショートカットの実行を制御
業務上の必要に応じてショートカットやスクリプトの実行を制限し、不審な添付は信頼できる連絡手段で送信元に確認します。
- 03
端末の動作を関連付ける
ショートカット、PowerShell、外部ダウンロード、タスクの作成を端末と通信のログで追います。
対応策を見る関連情報 1件
TWISA会員企業の対策
端末の動作を関連付ける
ショートカット、PowerShell、外部ダウンロード、タスクの作成を端末と通信のログで追います。
- 04
隔離して再検証
影響を受けた端末を隔離して証拠を保全し、継続実行の仕組みを除去して、同じ挙動を検知できるか再確認します。
対応策を見る関連情報 1件
TWISA会員企業の対策
隔離して再検証
影響を受けた端末を隔離して証拠を保全し、継続実行の仕組みを除去して、同じ挙動を検知できるか再確認します。
メール、共同作業ツール、ダウンロード経路、ショートカットを実行できる端末を整理します。
許可された業務通信のみを通し、各層で防御を行います。
- 01
ファイルの入口
添付ファイル、リンク、ダウンロード
経路別に検査メール以外から届くファイルは端末でも制御します。
- 02
Windowsでの実行
ZIP、LNK、システムツール
不要な実行を制限ショートカットとスクリプトの実行を制限し、送信元を確認します。
- 03
端末の挙動
PowerShell、子プロセス、タスク
一連の動作を検知プロセスの親子関係、外部通信、タスクの作成を追跡します。
各層のログと通信データを集約し、監視と対応に活用します。
- 監視と復旧端末をまたいでログを突き合わせ、継続実行の仕組みが残っていないことを確認してから接続を戻します。
TWISA会員のソリューション
受信時にファイルを確認
メールの入口で圧縮ファイル内のLNKを確認し、チャットや他のダウンロード経路にも対策を用意します。
端末の動作を関連付ける
ショートカット、PowerShell、外部ダウンロード、タスクの作成を端末と通信のログで追います。
隔離して再検証
影響を受けた端末を隔離して証拠を保全し、継続実行の仕組みを除去して、同じ挙動を検知できるか再確認します。
CIXでの議論につなげる
第1回のCIXではAIを使った監視とアラートの振り分けが議題となりました。今後の交流会では、端末イベントの時系列を持ち寄り、どの挙動の組み合わせで調査を始め、隔離までの時間をどう短縮するかを話し合えます。
情報源と関連資料
更新日：2026/10/25。