「怪しいURLを開かない」「公式サイトからダウンロードする」——ソフトウェアの安全な入手法として、多くの会社がこの2つを従業員に徹底させている。海外で報じられたマルウェア配布キャンペーンは、この2つを両方守っていても被害に遭える手口だった。

何が起きたか

セキュリティ企業Huntressが、「FakeAgent」と名付けたマルバタイジング（悪意ある広告）キャンペーンを開示した。2026年7月21日から22日にかけて、少なくとも29組織がこのキャンペーン経由でマルウェアに感染したという。複数の海外セキュリティメディア（BleepingComputer、Cybersecurity News、IT Security Guru、Cyberpressなど）が同じ内容を報じている。

攻撃の流れはこうだ。

この悪意あるArtifactは、Anthropicに報告され削除されるまでに7,100回ダウンロードされていたという。SectopRATはパスワード・クレジットカード情報・ブラウザのCookieや自動入力データ・ファイル・Discord/Telegramなどのメッセージアプリの認証情報・VPN製品の情報などを狙う。C2（攻撃者との通信）先の情報をEthereumブロックチェーン上のトランザクションに隠す「EtherHiding」という手法も使われていたと報じられている。

なぜ「公式サイトを見る」だけでは防げないのか

この事例が厄介なのは、従業員が「怪しいリンクは踏まない」「URLバーのドメインを確認する」という、よく言われる基本を守っていたとしても、claude.aiという本物のドメインが表示されている以上、見た目だけでは気づけない点にある。原因はAnthropic側のセキュリティホールではなく、ユーザーが対話型コンテンツを公開できるArtifact機能を、攻撃者が正規ドメイン上の「見た目が本物」なページを作るための足場として悪用したことにある。

さらに、検索広告（スポンサー枠）というルート自体が見落とされやすい。多くの人は「検索結果の上の方に出てくる公式っぽいリンク」を無条件に信頼しがちだが、広告枠は本来のドメイン所有者以外が出稿できる。今回のように表示ドメインが本物であっても、広告主が攻撃者という組み合わせが起こり得る。

中小企業が実務で押さえるべき3点

  1. ソフトウェアの入手経路を「検索して見つける」に任せない：AIツールに限らず、業務利用するソフトウェアの正規ダウンロードURLは、社内wikiやドキュメントにあらかじめ記載しておき、従業員が毎回検索するのではなくそこからアクセスする運用にする。検索広告経由の入手を避けられるだけで、この種の手口はそもそも成立しなくなる
  2. 未許可の実行ファイルが動かない仕組みを入れる：従業員一人ひとりの見極めに頼るのではなく、EDR（エンドポイント検知・対応）や、業務端末での実行ファイルをホワイトリスト方式で制限するアプリケーション制御を導入し、未知の.exeが実行される前に機械的に止められるようにしておく
  3. AIツールの自己導入を「黙認」にしない：現場が個別にAIツールを見つけてインストールする流れが広がるほど、こうした攻撃の的になる機会も増える。どのAIツールを・どの経路で・誰が承認して導入するかを、IT部門が把握できる形にしておく

「個人の注意力」から「構造」へ

以前紹介したterraform destroyの事例や間接プロンプトインジェクションの手口は、いずれもAIエージェントを動かす側の権限設計の話だった。今回の事例はその手前、「AIツールを会社に入れる最初の一歩」にも同じ構造の問題があることを示している。従業員に「気をつけて」と言うだけでは、公式ドメインを装われた瞬間に効かなくなる。ソフトウェアの入手経路を仕組みとして固定し、未許可の実行を機械的に止める——これもハーネスの考え方の一部だ。

AIツールの社内導入ルールをどう設計すればよいか整理したい場合は、30分の無料診断で相談できる。