新型RAT「CloudZ」がMicrosoft Phone Linkを悪用、PC経由でSMS・OTPを傍受する新手法が判明

「SMSで届くワンタイムパスワードを使っていれば、2要素認証は安全だと思っていたのですが大丈夫でしょうか？」
「Microsoft Phone Linkでスマホと連携している社用PCが、攻撃の起点になることはあるのでしょうか？」

チップス

ボス、PCとスマホをつなぐPhone Linkは便利でよく使ってるんでしゅが、まさかそこからSMSのOTPが盗まれるなんてないでしゅよね？

ボス

ところがCisco Talosが発見した「CloudZ」というRATは、まさにそのPhone Linkを悪用してSMSやOTPを抜き取る。スマホ本体に感染しなくても、PC側からモバイルの通知が筒抜けになるという話だ。

本記事では、Talosが2026年5月に公表したCloudZ RATとPhenoプラグインの仕組みを整理し、SMSベース2要素認証から脱却すべき理由を解説します。

記事を読み終える頃には、SMS-OTPから認証アプリやFIDOキーに移行すべき具体的な根拠が手に入ります。

事件の概要：Phone Link経由でSMS認証コードが抜かれる

Cisco Talosは2026年5月6日、少なくとも同年1月から続く侵害を分析し、新型RAT「CloudZ」とプラグイン「Pheno」を公表しました。

何が起こったのか

攻撃者はWindows PCに常駐するMicrosoft Phone Linkに着目しました。
Phone LinkはAndroid端末と双方向同期を行い、SMSや通知をPC側のSQLiteデータベース「PhoneExperiences-*.db」に保存します。
Phenoプラグインはこのファイルを直接参照し、認証アプリの通知やSMS-OTPをそのまま窃取します。

CloudZ本体は2026年1月13日にコンパイルされた.NET実行ファイルで、ConfuserExで難読化されています。
主要機能はメモリ上で動的に実行され、デバッガーやサンドボックス検査を回避するため、従来のシグネチャ型アンチウイルスでは捕捉が困難です。

攻撃手口：偽装アップデートからPheno展開までの流れ

初期侵入から永続化までの流れは段階的に設計されており、各段階で異なる検知回避手法が組み込まれています。

侵入から情報窃取までの4ステップ

Talosの分析によると、CloudZの感染経路は以下の流れで進みます。
各段階で正規ツールに偽装する点が共通しており、IT管理者が気づきにくい構造になっています。

チップス

うわっ、スマホ本体にウイルスを入れなくても、PCのデータベースを見るだけでSMS認証コードが盗めちゃうんでしゅか！

ボス

そういうことだ。この種の攻撃が成立する以上、SMSベース2FAは「持っていないより遥かにマシ」程度の補強策と捉えるべきだな。詳細はCisco Talosの公式分析にも目を通しておけ。

まとめ：SMS-OTPから認証アプリ・FIDOキーへ

CloudZの登場で、SMSベース2要素認証はマルウェア感染した端末を巡って簡単に迂回されるリスクが現実化しました。
業務PCのEDR導入に加え、認証経路をSMS-OTPからTOTPアプリやFIDO2セキュリティキーに切り替える検討が必要です。
Phone Linkを業務利用する場合は、保存先データベースのアクセス権限と転送ポリシーを見直し、攻撃の足場になる前にコントロールを効かせるべきです。