中国系ハッカー、盗用したDigiCert証明書でマルウェアに署名

サポート担当者を狙った標的型攻撃で証明書を不正取得

2026年4月2日、認証局DigiCertのコード署名証明書が不正に取得された事案について、中国系サイバー攻撃グループGoldenEyeDogの関連組織が関与した可能性が明らかになった。

攻撃者は、DigiCertのカスタマーサポート担当者に対し、顧客からの問い合わせを装ったメールと悪意のある添付ファイルを送付して端末を感染させた。その後、内部サポートポータルへ不正アクセスし、コード署名証明書を取得したとされる。盗まれた証明書は、主にマルウェアへのデジタル署名に悪用され、セキュリティ製品による検知や警告を回避する目的で利用されたという。

また、攻撃者はサポートポータルの制限された機能を悪用し、証明書発行プロセスへ介入した。顧客対応に使用されるシステムから、承認済み証明書の初期化コードを取得し、それを利用して不正な証明書を発行したとみられている。

DigiCertは事案の発覚後、システムを改善するとともに、サポートポータル経由で初期化コードへアクセスできないよう対策を実施した。

盗難証明書を悪用したマルウェア署名、サポート部門が標的に

盗まれた証明書は、**「Zhong Stealer」**マルウェアのコード署名に使用され、正規ソフトウェアを装うことでセキュリティ製品による検知や警告の回避に悪用された。少なくとも11件の証明書がこうした不正利用に関与していたことが確認されており、コード署名証明書が攻撃者にとって重要な標的となっている実態が浮き彫りとなった。

今回の事案では、外部から送付されたファイルを処理するカスタマーサポート担当者が標的となり、ソーシャルエンジニアリングを用いた攻撃によって侵害が発生した。このことから、サポート部門がサイバー攻撃の侵入経路となるリスクが改めて示された。

今回の事例は、技術的な対策に加え、サポート部門におけるファイル取り扱い手順の見直しや従業員へのセキュリティ教育など、多層的な対策の重要性を示す事例となっている。