DigiCertのサポート窓口がscr悪用で侵害、EVコード署名証明書60枚を失効しZhong Stealer配布に

「正規のコード署名がついているソフトを、私たちはどこまで信用していいの？」
「サポート担当者を狙った社会工学攻撃って、どこまで他人事として聞けるんだろう」

チップス

ボス！証明書を発行する側のDigiCertが侵害されたって、ちょっとショックでしゅ…

ボス

これは小さくない事件だな。サポート窓口に来た「スクリーンショットのZIP」を解凍した1台が、4月のDigiCert内部侵害の起点だ。EVコード署名証明書60枚が失効、Zhong Stealerの配布に悪用された。

署名されたソフトを「正しい」と信じてきた現場ほど、感じる動揺は大きいはずです。
本記事では、DigiCertの発表内容と、日本企業として取るべき備えを整理します。

読み終えるころには、自社の「署名信頼」をどう運用していくべきか考える材料が揃います。

何が起きた？事件のタイムラインを整理

サポート部門への社会工学攻撃が、認証局にまで及んだ事案です。

きっかけは「scr付きスクリーンショット」

2026年4月2日、攻撃者はDigiCertのサポートチャットへ「顧客スクリーンショット」と称するZIPファイルを繰り返し送信しました。
中身は.scr（スクリーンセーバー）形式の実行ファイルで、Windowsでは事実上の実行可能ファイルとして扱われます。
CrowdStrikeなどの防御で4回までブロックされましたが、5回目の試行でサポートアナリストの端末「ENDPOINT1」が侵害されました。

チップス

えっ、4回も止めてたのに、5回目で抜かれちゃったんでしゅか…

ボス

そういうことだ。攻撃者は「人間が業務で疲れる瞬間」を狙う。サポート窓口は本質的にファイルを開く宿命があるから、検知ポリシーだけでは守りきれない。

影響範囲と失効の対応

DigiCertは4月14日から17日にかけて、計60枚のEVコード署名証明書を失効しました。
うち27枚は問題報告とDigiCertの内部調査により攻撃者との関連が確認されています。
残る33枚は予防的措置として失効対応されました。

日本企業に効いてくるサプライチェーンへの影響

「署名されているから安全」という前提が揺らぐ事件です。

Zhong Stealer配布と関連APTの動き

盗まれたEVコード署名証明書は、Zhong Stealerに署名する形で実際の攻撃キャンペーンに使われました。
Zhong Stealerは過去に暗号資産関連のサイバー犯罪グループでも観測されたインフォスティーラーです。
セキュリティ研究者は今回のキャンペーンを、APT Q-27（GoldenEyeDog）に関連付けています。

チップス

EV署名って「いちばん信頼できる」って習った気がするんでしゅが…

ボス

その認識が、ある意味で攻撃者にとっての「信用残高」だったわけだ。だからこそ、署名チェーン側の侵害はインパクトが大きい。

情シス・サポート部門が見直すべき点

「外から来たファイルを開かざるを得ない」業務は、サポート以外にも広く存在します。
営業の見積依頼、法務の契約書受領、人事の応募書類受領などが代表例です。
事件から学べる、現場で打てる対策を整理します。

事件の詳細はDigiCertの公式発表と、SecurityWeekの解説記事を確認してください。

まとめ：「署名されているから安全」を再定義する

今回の事件は、コード署名そのものの仕組みが破られたわけではありません。
破られたのは、サポート部門という「人を相手にせざるを得ない業務」の現場でした。
署名検証は今後も大切な確認手段ですが、振る舞い検知と社内運用ルールの両輪で支えてこそ、本来の信頼性が保たれます。

チップス

「署名＋EDR＋運用」、3点セットで考えるでしゅね！

ボス

そうだ。信頼は重ねるものであって、預けるものではない。これは何度でも言うべきだな。