チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「SMSで届くワンタイムパスワードを使っていれば、2要素認証は安全だと思っていたのですが大丈夫でしょうか？」
「Microsoft Phone Linkでスマホと連携している社用PCが、攻撃の起点になることはあるのでしょうか？」
チップスボス、PCとスマホをつなぐPhone Linkは便利でよく使ってるんでしゅが、まさかそこからSMSのOTPが盗まれるなんてないでしゅよね？
ボスところがCisco Talosが発見した「CloudZ」というRATは、まさにそのPhone Linkを悪用してSMSやOTPを抜き取る。スマホ本体に感染しなくても、PC側からモバイルの通知が筒抜けになるという話だ。
本記事では、Talosが2026年5月に公表したCloudZ RATとPhenoプラグインの仕組みを整理し、SMSベース2要素認証から脱却すべき理由を解説します。
3行で分かるニュースのポイント
記事を読み終える頃には、SMS-OTPから認証アプリやFIDOキーに移行すべき具体的な根拠が手に入ります。
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
Cisco Talosは2026年5月6日、少なくとも同年1月から続く侵害を分析し、新型RAT「CloudZ」とプラグイン「Pheno」を公表しました。
攻撃者はWindows PCに常駐するMicrosoft Phone Linkに着目しました。
Phone LinkはAndroid端末と双方向同期を行い、SMSや通知をPC側のSQLiteデータベース「PhoneExperiences-*.db」に保存します。
Phenoプラグインはこのファイルを直接参照し、認証アプリの通知やSMS-OTPをそのまま窃取します。
CloudZ本体は2026年1月13日にコンパイルされた.NET実行ファイルで、ConfuserExで難読化されています。
主要機能はメモリ上で動的に実行され、デバッガーやサンドボックス検査を回避するため、従来のシグネチャ型アンチウイルスでは捕捉が困難です。
初期侵入から永続化までの流れは段階的に設計されており、各段階で異なる検知回避手法が組み込まれています。
Talosの分析によると、CloudZの感染経路は以下の流れで進みます。
各段階で正規ツールに偽装する点が共通しており、IT管理者が気づきにくい構造になっています。
正規RMMのアップデートを装ったRust製ローダーが実行され、後続コンポーネントを展開する。
中間ローダーが難読化されたCloudZ RAT本体をメモリ上にロードする。
「YourPhone」「PhoneExperienceHost」など稼働中のPhone Link関連プロセスを継続的にスキャンする。
SMS・OTP・通知が格納されたPhoneExperiences-*.dbを直接読み取り、外部C2サーバーに送信する。
チップスうわっ、スマホ本体にウイルスを入れなくても、PCのデータベースを見るだけでSMS認証コードが盗めちゃうんでしゅか！
ボスそういうことだ。この種の攻撃が成立する以上、SMSベース2FAは「持っていないより遥かにマシ」程度の補強策と捉えるべきだな。詳細はCisco Talosの公式分析にも目を通しておけ。
CloudZの登場で、SMSベース2要素認証はマルウェア感染した端末を巡って簡単に迂回されるリスクが現実化しました。
業務PCのEDR導入に加え、認証経路をSMS-OTPからTOTPアプリやFIDO2セキュリティキーに切り替える検討が必要です。
Phone Linkを業務利用する場合は、保存先データベースのアクセス権限と転送ポリシーを見直し、攻撃の足場になる前にコントロールを効かせるべきです。
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
