偽の「インド税申告ツール」でDcRATを配布、中国関連キャンペーンが納税者・税理士を標的化です

今日の深掘りポイント

• 税申告シーズンの「時節性」と税当局の「権威」を二重に悪用し、偽の申告ツールでDcRATを植え付けるフィッシング主導の攻撃です。
• バイリンガル表記や法的引用で信頼性を演出し、ZIP経由の配布・UAC回避・画像ファイルでの隠匿といったローテクとロジックを巧みに掛け合わせています。
• コモディティRAT（DcRAT）を使うことで帰属の曖昧性を保ちつつ、税・財務の業務端点からERPやファイナンス基盤への横展開を狙える構図です。
• 日本企業も無関係ではありません。インド拠点やBPO、現地税務委託を踏むサプライチェーンが多く、財務・税務のアカウントを踏み台に日本側へ波及するリスクがあります。
• いまは新規性より即応性の局面です。送信元ドメイン検証とEDRのプロセス連鎖監視、税関連手続きの多要素・二名承認、公式ドメインの厳格な許可制を優先するべきです。

はじめに

「急いで申告しないと不利益が出る」。税務は期限と不安が背中を押す数少ない業務領域です。攻撃者はその心理と、税当局という絶対的なブランドを借りて、納税者・税理士・企業の財務担当に偽の申告ツールを踏ませ、DcRATで持続的な足場を築こうとしています。報道では2026年5月中旬からインドの申告期に合わせて観測が始まったとされ、単発ではなく「計画的かつ持続的」との評価が付いています。ここに、目新しさよりも「当てに来る強さ」を感じます。

本稿は公開報道に基づく事実整理と、MITRE ATT&CKに沿えた仮説シナリオ、そしてCISO/SOC/インテリジェンスの現場に効くアクションへ落とし込む試みです。一次資料（ベンダー詳細レポートや完全なIoC群）が限られるため、戦術・技術・手順（TTP）の整合性と実務への翻訳に重心を置きます。

深掘り詳細

事実関係（公開情報の整理）

• 中国関連とみられるアクターが、インドの納税者・税務専門家・企業の財務部門を狙い、偽の税申告ツールを配布してDcRATを展開していると報じられています。
• 攻撃はフィッシングメールで偽サイトへ誘導し、ZIPをダウンロード・実行させる流れです。内容は二言語対応や法的文言を含み、真正らしさを装います。
• 展開過程ではユーザーアカウント制御（UAC）の回避や、画像ファイルを用いた隠匿が使われ、エンドポイント上での検出回避を図ります。
• 初観測は2026年5月18日前後とされ、インドの税務申告繁忙期に合わせた時節性が指摘されています。
• 以上は二次ソースの報道を基にした整理です。The Hacker Newsの報道が出発点になっています。

編集部の視点（どこが本質的に厄介か）

• 新規マルウェアではなく「既知のRAT×業務特化の社会工学×季節性」の三点セットです。検知は技術だけでなく、業務プロセスと時間割の理解が必要になります。SOCが「いつ誰が何をやるのが普通か」を掴んでいなければ、偽物の業務フローに騙されます。
• コモディティRAT（DcRAT）を使う利点は二つあります。安価かつ実用的、そして帰属の曖昧化です。独自インプラントではなく市販RATを使うことで、国家関与の色を薄めつつ、短サイクルでキャンペーンを繰り返せます。これは「検知がシグネチャ偏重の組織」をすり抜けやすい構図です。
• 税・財務端点は「高権限・高価値データ・外部連携の三拍子」が揃いがちです。ERP/会計SaaS/銀行ポータルへのアクセス、OTPや電子証明書の保有、外部委託者との往来。ここを踏まれると、横展開と資金関連の情報窃取が一気に現実味を帯びます。
• 日本企業にとっての盲点は「現地最適の例外」です。インド子会社や委託先の端点は、日本本社の標準より緩い設定や独自のツール例外が残りがちです。攻撃者はそこを「入口」に選び、本社側への橋頭堡を築きます。

脅威シナリオと影響

以下は報道の要素と一般的なDcRATの挙動を踏まえた仮説シナリオで、MITRE ATT&CKに沿って整理します。環境により異なるため、あくまで仮説として検討ください。

• 偵察・準備
  • オープンソース偵察で税関連の組織・連絡先・期限情報を収集します（T1593 Search Open Websites/Domains、T1589 Gather Victim Identity Information）[MITRE ATT&CK]。
  • 税当局らしさを出すドメインやインフラを用意します（T1583 Acquire Infrastructure）[MITRE ATT&CK]。
• 初期侵入
  • 税申告に関する差し迫った通知を装うメールで偽サイトに誘導します（T1566.002 Spearphishing Link）[MITRE ATT&CK]。
  • 利用者にZIPから実行ファイルやスクリプトを起動させます（T1204 User Execution）[MITRE ATT&CK]。
• 実行・権限昇格・防御回避
  • PowerShell等でローダを実行し（T1059.001 Command and Scripting Interpreter: PowerShell）[MITRE ATT&CK]、UAC回避で権限を引き上げます（T1548.002 Bypass User Account Control）[MITRE ATT&CK]。
  • 画像ファイルへの埋め込み等でペイロードを隠匿します（T1027.003 Steganography）[MITRE ATT&CK]。ファイル名やアイコンの偽装も想定します（T1036 Masquerading）[MITRE ATT&CK]。
• 永続化・発見・窃取
  • レジストリRunキーやスケジュールタスクで永続化します（T1547.001 Registry Run Keys/Startup Folder、T1053.005 Scheduled Task）[MITRE ATT&CK]。
  • ホスト・プロセス・セキュリティ製品の把握を行います（T1082 System Information Discovery、T1057 Process Discovery、T1518.001 Security Software Discovery）[MITRE ATT&CK]。
  • ブラウザや保管庫から認証情報を取得する可能性があります（T1555 Credentials from Password Stores）[MITRE ATT&CK]。
• 指揮通信・横展開・流出
  • HTTPS等のアプリ層プロトコルでC2に接続します（T1071.001 Web Protocols、T1573 Encrypted Channel）[MITRE ATT&CK]。
  • 共有やRDPの不適切な設定を足掛かりに横展開を試みます（T1021.001 Remote Services: SMB/Windows Admin Shares、T1021.002 Remote Desktop Protocol）[MITRE ATT&CK]。
  • 契約書・申告関連PDF・会計データなどを段階的に持ち出します（T1041 Exfiltration Over C2 Channel）[MITRE ATT&CK]。

想定される影響のレイヤ

• 個人・企業情報の集約窃取です。申告書類、身元確認資料、銀行明細、PAN/GST関連情報など、単体ではなく「束」で価値が上がるデータが標的になりやすいです。
• 資金関連システムへの後続攻撃です。会計SaaSや銀行ポータルのOTP/トークン運用に社会工学を重ねると、送金フローの改ざんやBECと融合するリスクが出ます。
• 本社への波及です。子会社端点からのVPN/SASEを通じた認証連携、クラウドのロール継承が足場になります。ゼロトラストが未実装な領域は要注意です。

編集部の読み（メトリクスからの総合判断）

• この件は「目新しさ」ではなく「今、刺さる」タイプです。報道の信頼性は高く、再現性の高い手口と時節性の強みから、組織横断での波及リスクは侮れないです。だからこそ、打つべきは高度な新兵器ではなく、業務とセキュリティの間にある「導線」を詰めることです。具体的には、公式ドメインの許可制、メールなりすまし耐性、EDRの連鎖検知、そして業務上の二名承認と二経路確認です。

セキュリティ担当者のアクション

短期で効くものから順に、現場運用に落ちる形で列挙します。

• 直ちに（48–72時間）

  • メール・Web経由の税関連キーワードでの隔離強化です。件名・本文・URLに「income tax」「e-filing」「refund」「notice」等が含まれるものを高リスク扱いにし、URL展開サンドボックスを必須にします。
  • 公式ドメインの許可制です。インド税当局の正規サイトをホワイトリスト化し、それ以外の類似ドメイン（typosquat, combo-squat）へのアクセスはブロック・監査にします。公式ドメインをブックマークから開く運用を徹底します。
  • EDRでの連鎖検知を有効化します。解凍直後にPowerShell/mshta/rundll32/regsvr32が起動する、ユーザー領域（%TEMP%/%APPDATA%）からの実行、画像ファイルに隠れた実行（拡張子不一致）を高優先度で狩るルールにします。
  • UAC回避の痕跡監視です。特に以下のレジストリ改変はアラート対象にします（Sysmon Event ID 13を推奨）。
    • HKCU\Software\Classes\ms-settings\Shell\Open\command（Fodhelper系）
    • HKCU\Software\Classes\ms-settings\CurVer
  • 税・財務アカウントの強制パスワード変更とMFA再登録のスポット実施です。委託先（BPO/会計事務所）にも同一の初動連絡を展開します。

• 1〜2週間で

  • アプリケーション制御です。税関連で「例外的に許していた実行ファイル/スクリプト」を棚卸しし、WDAC/AppLockerで未署名・未承認の実行をブロックします。
  • プロキシ・DNSでのドメイン監視です。「incometax」「efiling」「refund」を含む新規登録ドメインの解決・通信を網羅的に可視化し、年次で“5–7月の平日外/営業時間外アクセス”に重みを付けた異常検知ルールを敷きます。
  • 税関連の業務プロセスに二名承認と二経路検証を組み込みます。外部メール起点の申告・修正・返金手続きは、公式ポータルに自分でログインし直して確認することを標準にします（メール内リンクは使わない運用）。
  • IRテーブルトップ演習です。想定を「税務通知を受け取った財務担当が偽ツールを実行」に設定し、発見から封じ込めまでの分単位の動線を固めます。

• 中期（四半期内）

  • 子会社・委託先を含むゼロトラストの骨組み強化です。端点健全性（EDR/暗号化/MFA）を満たさない接続に対して財務・ERPリソースを出さないポリシーを統一します。
  • ブランドなりすまし対策の底上げです。自社ドメインはDMARC p=reject/ARC対応まで仕上げ、外形的になりすましを困難にします。受信側もDMARC/DKIM/SPFを評価に入れるゲートウェイ設定にします。
  • 税・財務スタッフ向けのJIT教育です。申告期の3週間前〜当日までの短期集中モジュール（1–3分動画＋模擬演習）を設計し、リンク非依存の自己遷移（公式サイトへ自分で行く）を身体化させます。
  • TI運用への定着です。「Operation DragonReturn」（報道での呼称）としてケース管理を行い、観測期間・テーマ・TTP・疑似名をナレッジに蓄積します。以後、季節性キャンペーンの先回り検知に使います。

注意点

• 本件は「国家関与の疑い」があるとの報道ですが、帰属は常に可変で、コモディティRATの採用により曖昧化が図られています。検知・防御は帰属に依存せず、振る舞いと業務文脈で組むのが実務的です。
• 画像ステガノグラフィは検知が難しい領域です。ネットワークの“何をどれだけ、いつ出しているか”というふるまいに振る指標（小分け送信、異常な時間帯、馴染みのないSNI/JA3）を組み合わせるのが現実解です。

参考情報

• 報道概要（The Hacker News）: Suspected China-Nexus Hackers Use Fake Indian Tax Filing Tool to Deploy DcRAT https://thehackernews.com/2026/07/suspected-china-nexus-hackers-use-fake.html
• MITRE ATT&CK: Phishing (T1566.002) https://attack.mitre.org/techniques/T1566/002/
• MITRE ATT&CK: User Execution (T1204) https://attack.mitre.org/techniques/T1204/
• MITRE ATT&CK: Bypass User Account Control (T1548.002) https://attack.mitre.org/techniques/T1548/002/
• MITRE ATT&CK: Steganography (T1027.003) https://attack.mitre.org/techniques/T1027/003/
• MITRE ATT&CK: Application Layer Protocol – Web Protocols (T1071.001) https://attack.mitre.org/techniques/T1071/001/
• MITRE ATT&CK: Exfiltration Over C2 Channel (T1041) https://attack.mitre.org/techniques/T1041/

本稿は公開報道と一般的に知られたTTPの整合から導いた分析です。一次資料（詳細レポートや完全なIoC）が公開され次第、検知ルールと狩り方の具体度を上げて改訂します。いま必要なのは、税業務という「急がせる装置」にセキュリティのブレーキを組み込むことです。焦らず、しかし手早く、現場に効く変更を積み上げていきます。