JPCERT/CCは2026年7月13日、日本国内の組織を狙う攻撃グループ「APT-C-60」の2026年の攻撃活動に関する分析を公開しました。スピアフィッシングメールでProton Driveのリンクを開かせ、RARアーカイブ内のLNKファイルからバックドア「SpyGlace」に感染させる流れです。最大の特徴は、ペイロードの配布から追加モジュールの取得までをGitHubやjsDelivrなど業務で許可済みの正規サービスだけで完結させている点で、通信先のドメイン遮断による防御が原理的に効きません。
この記事でわかること
- APT-C-60の2026年の攻撃チェーン（Proton Drive→RAR→LNK→SpyGlace）の全体像
- なぜURLフィルタやプロキシのカテゴリ遮断で止められないのか
- 「社内にGitを入れていないから無関係」が成り立たない理由
- 2024年から変わっていない部分に検知ルールを張るという実務判断
何が起きたのか：JPCERT/CCが最新の攻撃活動を公開
APT-C-60は、以前から日本を含む東アジアの組織を標的にしてきた攻撃グループです。JPCERT/CCは2024年11月にもこのグループの攻撃を分析しており、今回はその後継となる2026年の観測結果です。
報告では、初期侵入の手法と攻撃インフラに変化が見られた一方、感染後の実行・永続化の作りは従来を踏襲していると指摘されています。攻撃に使われた送信元メールアドレスはProton Mail（protonmail.com）のアカウントで、JPCERT/CCはC2として7個のIPアドレス、100件を超えるファイルハッシュを付録として公開しています。
なお、被害を受けた組織の業種・規模は公表されていません。「うちの業界は狙われない」と判断できる材料は現時点ではない、と考えておくのが妥当です。
攻撃はどう進むのか：感染チェーンの流れ
JPCERT/CCが示した流れを段階ごとに整理します。
| 段階 | 使われるもの | ポイント |
|---|---|---|
| 1. 初期接触 | スピアフィッシングメール＋Proton Driveのリンク | 添付ではなくリンク。従来型のメール直接添付も並行 |
| 2. ダウンロード | RARアーカイブ | 展開するとLNK（ショートカット）ファイルが出てくる |
| 3. 実行 | LNK →mshta.exe |
LNKに埋め込まれたJavaScriptをWindows標準機能で実行 |
| 4. 追加取得 | jsDelivrからcontributing[1].txt |
CDN経由。通信先はGitHub公式CDNのドメイン |
| 5. スクリプト実行 | 展開フォルダ内の正規git.exe |
署名済みの正規バイナリを踏み台にする（LOLBin） |
| 6. ダウンローダー生成 | 複数の.dbファイルを結合 |
単体ファイルとしてはマルウェアに見えにくい |
| 7. 本命の投下 | GitHub等から追加ダウンローダー／ローダー→SpyGlace | 確認されたのはv3.1.15／3.1.17／3.1.18 |
攻撃管理に使われたリポジトリは、GitHubが16個、GitLabが8個、Codebergが3個。SpyGlaceについてJPCERT/CCは、従来版と比べて機能面での大きな差異は確認されなかったとしています。2024年の分析では、ファイルの送受信、プロセス管理、リモートシェル、スクリーンショット取得、DLLの読み込みといった機能が報告されていました。
なぜ通信先の遮断では止められないのか
結論から言えば、攻撃に使われる通信先が全て「業務上ブロックできない正規サービス」だからです。JPCERT/CC自身も、開発者向けサービスやCDNは業務環境からのアクセスが許可されている場合が多く、通信先のみを根拠にした検知や遮断が難しいと注意を促しています。
実務に落とすとこうなります。GitHubとGitLabは開発部門が使い、jsDelivrはnpmやGitHub上のライブラリを配信するCDNなので、社内のWeb制作や情報発信の担当者が普通に依存しています。ここを止めれば攻撃は確実に止まりますが、同時に業務も止まります。つまり「怪しいドメインをブロックする」という発想が構造的に無力化されているのがこの攻撃の本質です。
一方で、初期接触に使われたProton Driveは、業務で常用している組織はそれほど多くないはずです。自社の利用実態を確認したうえで、業務利用がないなら遮断候補として検討する価値があります。全てを止められない以上、止められるところだけを選んで止めるという優先順位付けが要になります。
「社内にGitを入れていないから大丈夫」は成り立たない
この攻撃で見落とされやすいのが第5段階です。スクリプトの実行に使われるgit.exeは、端末にインストールされたGitではなく、展開したフォルダの中に攻撃者が同梱した正規のバイナリです。
つまり「開発部門以外にはGitを配布していないから、うちの一般社員は関係ない」という切り分けは成立しません。正規の署名付き実行ファイルを持ち込んで使う以上、資産管理ツールの「インストール済みソフト一覧」にも当然出てきません。検知の観点では、Gitの導入有無ではなくユーザーのダウンロードフォルダや一時展開先からgit.exeが起動していないかという、置かれた場所のほうを見る必要があります。
2024年から変わっていない部分に検知の芯を置く
今回の報告で実務的に一番使えるのは、変化点よりも継続点だと考えています。JPCERT/CCは、git.exeを使ったスクリプト実行や永続化の手法は2024年・2025年の攻撃でも確認されており、今回も同様だと明記しています。ちなみに2024年の分析では、永続化にCOMハイジャック（正規のCOMコンポーネントの登録を書き換えて自動実行させる手法）が使われていました。
初期侵入は毎回変わります。2024年は入社希望者を装ったメールとGoogle Drive上のVHDXファイル、2026年はProton DriveとRARです。ここに検知ルールを張っても、次のキャンペーンでは外れます。逆に、正規バイナリの異常な場所からの起動やmshta.exeによるスクリプト実行、COM登録の書き換えといった「作りの部分」は2年以上変わっていません。限られた工数でEDRのカスタムルールを増やすなら、こちらに寄せるほうが費用対効果が高いはずです。
現場目線：狙われるのは「外部メールを開くのが仕事」の部署
2024年の攻撃で入口になったのは、採用担当窓口に届いた入社希望者を装ったメールでした。人事・採用、広報、営業、問い合わせ窓口といった部署は、見知らぬ相手からの添付やリンクを開くことそのものが業務です。「不審なメールは開かないでください」という全社一律の呼びかけが、最も届きにくい層でもあります。
正直なところ、この層の判断力だけに頼るのは無理があります。訓練を年1回回して終わりにせず、対象部署を絞って頻度と具体性を上げるほうが現実的です。あわせて、RARやLNKといった業務で必要性の低いファイル形式のメールゲートウェイでの扱いを見直しておくと、入口の面積を減らせます。標的型攻撃の手口全般については標的型攻撃とは？手口と情シスの対策をわかりやすく解説、メール経由の入口についてはスピアフィッシングとは？フィッシングとの違いと情シスの実態もあわせてご覧ください。
情シスはどうすべきか
個別の対策リストを自前で並べるより、公的機関の体系化された指針に沿うほうが早く、抜けも出にくくなります。
- JPCERT/CCの分析記事（付録にIoCあり）：C2のIPアドレス、ファイルハッシュ、悪用されたリポジトリURLが公開されています。自社のプロキシログ・EDRで突き合わせるのが最短の一手です。
- IPA「セキュリティインシデント対応 机上演習教材」：感染を前提とした初動を関係部署と通しで確認できます。防ぎ切る前提が置けない以上、検知後の動きを詰める価値が高い領域です。
- IPA「対策のしおり」：エンドユーザー向けの啓発資料。前述の採用・広報などリスクの高い部署への説明に使えます。
- IPA「中小企業の情報セキュリティ対策ガイドライン」：専任者を置きにくい規模の組織での優先順位付けに使えます。
感染後の広がりを抑える観点はラテラルムーブメント（横展開）とは？侵入後の脅威を解説、組織としての受け皿づくりはCSIRTとは？役割・SOCとの違いと構築の要点を解説が参考になります。
まとめ
- APT-C-60の2026年の攻撃は、Proton Driveのリンク→RAR→LNK→
mshta.exe→正規git.exeという流れでSpyGlaceに感染させる。配布・指令はGitHub、GitLab、jsDelivr、Codebergといった正規サービスのみで完結する。 - 通信先での遮断は業務影響が大きく現実的でない。
git.exeは攻撃者が同梱するためGit未導入の端末も対象になる。「どのドメインか」ではなく「正規バイナリがどこから起動したか」を見る必要がある。 - 初期侵入は毎回変わるが、
git.exeによるスクリプト実行と永続化の作りは2024年から変わっていない。検知ルールは変化点ではなく継続点に寄せるほうが効率的。
