要点
- IT 管理を請け負う会社（MSP）が使う遠隔管理ツール ScreenConnect が乗っ取られ、顧客の端末に攻撃者用の遠隔操作ソフトが入れられている。
- セキュリティ企業 Huntress は、6 の MSP、47 の組織、286 以上の端末を確認したと報告した。数はまだ増えている。
- 侵入の方法は分かっていない。MSP の技術者のパソコンまで狙われる恐れがあり、MSP に任せている会社は自社の端末を調べる必要がある。
何が起きたか
2026 年 11 月 11 日、Huntress がこの攻撃を確認した。同社は、キャンペーン（一連の攻撃活動）が同日の 17:47 UTC（日本時間 12 日 2:47）ごろに始まったとしている。BleepingComputer の報道によると、Huntress は、クラウド上の ScreenConnect が狙われたとみている。
攻撃者は MSP の ScreenConnect に入り込み、「Run Command（遠隔で命令を実行する機能）」を使って、MSP が管理する顧客の端末に別の遠隔操作ソフトを入れた。これで、攻撃者は MSP の環境を経由せず、直接その端末に入れる。ConnectWise は、拡張機能を無効にしたり認証情報を変えたりするだけでは、端末にすでにできた侵入経路が消えるとは限らないと注意している。
ConnectWise は同じ日（11 日 22:45 UTC）に advisory を出した。それによると、ScreenConnect のパートナー（MSP など）のアカウントへの不正アクセスと、顧客の環境に不正な遠隔操作ソフトが入れられた報告を把握している。原因と範囲は調査中だ。
ConnectWise は、第三者が作った拡張機能 5 種（Labtech Plus、RMM Plus、RMM+ と、そのパスワードリンク版）を念のため無効にした。約 400 のパートナー環境が使っていた。自社でサーバーを動かすパートナーは、自分で無効にする必要がある。
ConnectWise は、攻撃者が侵入後に ScreenConnect を使ったことや、技術者のパソコンが遠隔接続中に侵害された可能性についても報告を受けている。ただし、これらは確認中だという。Huntress は、侵入には盗まれた認証情報や乗っ取られた支援セッションが使われたようだと述べている。確定ではない。
Huntress は、攻撃者が付けた番号が連番になっていることから、すでに前から侵害されていた MSP が他にもあるかもしれないと警告している。
日本の利用者への影響
日本の組織への影響は、一次情報からは分からない。ScreenConnect は、MSP や IT チームが顧客の端末を遠隔で管理するために使う製品だ。日本の企業が MSP に端末の管理を任せているなら、当たる可能性はある。MSP が ScreenConnect を使っているかは、委託先に聞かないと分からない。
今すぐやること
- 委託先の MSP に、ScreenConnect を使っているか、今回の件の影響を受けたかを聞く。
- MSP に、Run Command の履歴に身に覚えのない命令がないか、調べてもらう。ConnectWise は、記録を消さず残すよう求めている。
- 自社の端末に、知らない遠隔操作ソフトが入っていないかを調べる。拡張機能を止めただけでは、すでに入った不正なソフトが消えるとは限らない（ConnectWise の注意）。
- ScreenConnect を自社で使っているなら、拡張機能 5 種が無効か確かめ、パスワードを信頼できる端末から変更し、MFA（パスワードのほかにスマホでも本人確認する仕組み）を有効にする。ログインの履歴も見直す。
- 侵害が疑われる端末に、ScreenConnect で対話的につながない。ConnectWise はこの点を勧めている。調べるときは別のセキュリティツールを使う。
背景
MSP は顧客の端末を遠隔で管理するため、攻撃者の標的になりうる。ScreenConnect は過去にも、2024 年 2 月に重大な欠陥（CVE-2024-1709）が悪用されるなど、たびたび標的になってきた。2026 年 8 月下旬に観測された、改造された ScreenConnect クライアントが広がる別の攻撃を、Huntress が 9 月初めに報告している。
技術者向けの詳細
- 一次情報: ConnectWise Trust Center の advisory「Precautionary extension disabling and partner guidance」（2026-11-11）。状態は「調査中」。
- 数字は Huntress の報告（BleepingComputer 経由）。6 の MSP、47 の組織、286 以上の端末。Huntress の元の投稿は直接は確認していない。
- 無効にされた拡張機能: Labtech Plus、RMM Plus、RMM+、RMM Plus Password Link、RMM+ Password Link。
- 報じられた IOC（無害化表記）:
- 中継: 185.99.255[.]28
- C2: newnewnew.gotdns[.]org、soxnewwork.homedns[.]org、sc.payproofkit[.]com
- 不正なクライアント ID: 2588ef5c15954b10、ed630cc2c873b091
- インストーラの URL の型:
/Bin/ScreenConnect.ClientSetup.msi?...&c=Exploited<N>
- 確認する場所: Run Command と Toolbox の履歴、端末上の上記 ID と通信先。
- 7 月に VirusTotal に上がったバッチファイルは、今回との関係が未確認。
- 未解明: 初期侵入の方法、「reverse pivot」（技術者のパソコンへの逆侵入）が欠陥によるのか正規機能の悪用か。
