[![Logo](https://www.paloaltonetworks.com/wp-content/uploads/2021/07/PANW_Parent.png)](https://www.paloaltonetworks.jp/) [![Unit42 Logo](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/unit42-logo-white.svg)](https://unit42.paloaltonetworks.com/ja/) Menu * [セキュリティ コンサルティング](https://www.paloaltonetworks.com/unit42) * [**現在、攻撃を受けていますか?**](https://start.paloaltonetworks.com/contact-unit42.html) Japanese * [English](https://unit42.paloaltonetworks.com/cloud-based-gift-card-fraud-campaign/) * [Spanish (LATAM)](https://unit42.paloaltonetworks.com/es-la/cloud-based-gift-card-fraud-campaign/) * [French](https://unit42.paloaltonetworks.com/fr/cloud-based-gift-card-fraud-campaign/) * [Japanese](https://unit42.paloaltonetworks.com/ja/cloud-based-gift-card-fraud-campaign/) * [Threat Research Center](https://unit42.paloaltonetworks.com/ja/ "Threat Research") * [脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/ "脅威リサーチ") * [サイバー犯罪](https://unit42.paloaltonetworks.com/ja/category/cybercrime-ja/ "サイバー犯罪") [サイバー犯罪](https://unit42.paloaltonetworks.com/ja/category/cybercrime-ja/) # Jingle Thief: クラウドベースのギフトカード詐欺キャンペーンの実態 ![Clock Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-clock.svg) 4 分で読めます Related Products [![Cortex icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/cortex_RGB_logo_Icon_Color.png)Cortex](https://unit42.paloaltonetworks.com/ja/product-category/cortex-ja/ "Cortex")[![Unit 42 Incident Response icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/unit42_RGB_logo_Icon_Color.png)Unit 42 Incident Response](https://unit42.paloaltonetworks.com/ja/product-category/unit-42-incident-response-ja/ "Unit 42 Incident Response") * ![Profile Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-profile-grey.svg) 著者: * [Stav Setty](https://unit42.paloaltonetworks.com/ja/author/stav-setty/) * [Shachar Roitman](https://unit42.paloaltonetworks.com/ja/author/shachar-roitman/) * ![Published Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-calendar-grey.svg) 公開日:2025年10月22日 * ![Tags Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-category.svg) カテゴリー * [クラウド サイバーセキュリティ リサーチ](https://unit42.paloaltonetworks.com/ja/category/cloud-cybersecurity-research-ja/) * [サイバー犯罪](https://unit42.paloaltonetworks.com/ja/category/cybercrime-ja/) * [脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) * ![Tags Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-tags-grey.svg) タグ: * [CL‑CRI‑1032](https://unit42.paloaltonetworks.com/ja/tag/cl-cri-1032-ja/) * [Microsoft](https://unit42.paloaltonetworks.com/ja/tag/microsoft-ja/) * [Phishing](https://unit42.paloaltonetworks.com/ja/tag/phishing-ja/) * [Smishing](https://unit42.paloaltonetworks.com/ja/tag/smishing-ja/) * [![Download Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-download.svg)](https://unit42.paloaltonetworks.com/ja/cloud-based-gift-card-fraud-campaign/?pdf=download&lg=ja&_wpnonce=0e33cfdd78 "Click here to download") * [![Print Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-print.svg)](https://unit42.paloaltonetworks.com/ja/cloud-based-gift-card-fraud-campaign/?pdf=print&lg=ja&_wpnonce=0e33cfdd78 "Click here to print") 共有![Down arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/down-arrow.svg) * ![Link Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-share-link.svg) * [![Link Email](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-sms.svg)](mailto:?subject=Jingle%20Thief:%20クラウドベースのギフトカード詐欺キャンペーンの実態&body=Check%20out%20this%20article%20https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fcloud-based-gift-card-fraud-campaign%2F "Share in email") * [![Facebook Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-fb-share.svg)](https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fcloud-based-gift-card-fraud-campaign%2F "Share in Facebook") * [![LinkedIn Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-linkedin-share.svg)](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fcloud-based-gift-card-fraud-campaign%2F&title=Jingle%20Thief:%20クラウドベースのギフトカード詐欺キャンペーンの実態 "Share in LinkedIn") * [![Twitter Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-twitter-share.svg)](https://twitter.com/intent/tweet?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fcloud-based-gift-card-fraud-campaign%2F&text=Jingle%20Thief:%20クラウドベースのギフトカード詐欺キャンペーンの実態 "Share in Twitter") * [![Reddit Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-reddit-share.svg)](https://www.paloaltonetworks.com//www.reddit.com/submit?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fcloud-based-gift-card-fraud-campaign%2F&ts=markdown "Share in Reddit") * [![Mastodon Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-mastodon-share.svg)](https://mastodon.social/share?text=Jingle%20Thief:%20クラウドベースのギフトカード詐欺キャンペーンの実態%20https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fcloud-based-gift-card-fraud-campaign%2F "Share in Mastodon") ## エグゼクティブサマリー 我々は、モロッコを拠点とする金銭目的の脅威アクターによって展開されたキャンペーンを調査しました 。攻撃者が祝祭シーズン（festive seasons）にギフトカード詐欺を行う手口（modus operandi）から、我々はこのキャンペーンを「Jingle Thief」と呼んでいます 。Jingle Thief の攻撃者は、フィッシングやスミッシングを用いて認証情報を窃取し、ギフトカードを発行する組織を侵害します 。そのオペレーションは、主に小売・消費者サービス分野のグローバル企業を標的としています 。組織へのアクセス権を取得すると、彼らは不正なギフトカードを発行するために必要なアクセスタイプとレベルを追求します 。 このキャンペーンに関連する活動は、Unit 42によって「CL‑CRI‑1032」クラスターとして追跡されています 。この活動の背後にいる脅威アクターは、主にクラウドベースのサービスやインフラに依存する組織を標的にします 。そして、Microsoft 365 の機能を悪用して、偵察、長期的な永続性の維持、および大規模なギフトカード詐欺を実行します 。我々は、Unit 42がCL-CRI-1032として追跡している活動クラスターが、公に「Atlas Lion」および「[STORM-0539](https://news.microsoft.com/wp-content/uploads/prod/sites/626/2024/05/Cyber_Signals_Issue_7_May_2024-2.pdf)」として追跡されている脅威アクターの活動と重複すると、中程度の確信（moderate confidence）をもって評価しています 。 この活動の背後にいる脅威アクターを特に危険なものは、組織内に長期間（時には1年以上にわたり）足がかり（foothold）を維持する能力です 。この間、彼らは重要なインフラへのアクセス方法を含む環境への深い知見を得るため、検知と修復が特に困難になります 。2025年4月と5月、Jingle Thief キャンペーンの背後にいる脅威アクターは、複数のグローバル企業に対して協調的な攻撃の波を仕掛けました 。 この記事は、実際のインシデントのテレメトリと検出結果に基づき、Jingle Thief キャンペーンのライフサイクルをエンドツーエンドで分析したものです 。我々は、この活動に関わる手法を明確に示し、クラウド環境におけるアイデンティティベースの脅威（ユーザーアカウントと認証情報を標的とする攻撃）を軽減するための実践的なガイダンスを提供します 。アイデンティティが従来の境界（ペリメター）に取って代わりつつあるなか、Jingle Thief のようなキャンペーンを理解することは、現代の企業インフラを保護するために不可欠です 。 この活動は、[Cortex User Entity Behavior Analytics (UEBA)](https://www.paloaltonetworks.com/cyberpedia/what-is-user-entity-behavior-analytics-ueba) および[Identity Threat Detection and Response (ITDR)](https://www.paloaltonetworks.com/resources/techbriefs/identity-threat-detection-and-response-module) によって検出された行動異常を通じて特定されました 。お客様は、新しい Cortex[Advanced Email Security モジュール](https://docs-cortex.paloaltonetworks.com/r/Cortex-XDR/Cortex-XDR-4.x-Documentation/Cortex-Advanced-Email-Security-module-overview) によって、この活動からより良く保護されます 。 万が一、侵害を受けた可能性または緊急の事態がございましたら、[Unit 42 インシデントレスポンスチーム](https://start.paloaltonetworks.com/contact-unit42.html)までご連絡ください 。 | **関連する Unit 42 のトピック** | [フィッシング,](https://unit42.paloaltonetworks.com/ja/tag/phishing-ja/)**[Smishing](https://unit42.paloaltonetworks.com/ja/tag/smishing-ja/)** | |------------------------|-------------------------------------------------------------------------------------------------------------------------------------------| ## Jingle Thief キャンペーンの背後にいるのは誰か？ 我々は、Jingle Thief キャンペーンが、2021年から活動しているモロッコ拠点の金銭目的の攻撃者によって作成されたと、中程度の確信をもって評価しています 。彼らのオペレーションは、主に小売・消費者サービス分野のグローバル企業を標的としています 。国家の支援は受けていませんが、我々が CL‑CRI‑1032 として追跡している活動には、高度な戦術、永続性、およびオペレーションへの集中が見られます 。 コモディティマルウェアやエンドポイントのエクスプロイトに依存する脅威アクターとは異なり、CL‑CRI‑1032 の背後にいる攻撃者は、フィッシングで認証情報を取得した後は、ほぼクラウド環境のみで活動します 。彼らはクラウドベースのインフラを悪用して正規のユーザーになりすまし、機密データへの不正アクセスを取得し、大規模なギフトカード詐欺を実行します 。 ## Jingle Thief キャンペーンの解剖 我々が観測したキャンペーンでは、脅威アクターは単一のグローバル企業内で約10ヶ月間にわたりアクセスを維持し、60以上のアカウントを侵害しました 。この活動には、SharePoint、OneDrive、Exchange、Entra ID といった Microsoft 365 サービスの使用が含まれていました 。これは、高度な適応性とオペレーション上の忍耐強さを示しています 。このアプローチを検出するには、長期間にわたる敵対者の行動を綿密に監視する必要があります 。Jingle Thief キャンペーンの背後にいる脅威アクターは、しばしば休暇期間に活動を合わせ、人員が手薄になりギフトカードの消費が増える時期にオペレーションを活発化させます 。 初期アクセス権を取得した後、脅威アクターは偵察を行って環境を把握し、より機密性の高い領域にラテラルムーブメント（水平展開）し、大規模な金融詐欺を実行する機会を特定しました 。図1は、Microsoft 365 全体にわたるエンドツーエンドの攻撃ライフサイクルを示しており、脅威アクターがフィッシングによる侵入からデバイス登録による永続的なアクセスへとどのように進行したかを示しています 。 ![攻撃チェーンを表す一連のアイコン：初期アクセス (Initial Access) は、クラウド認証情報を狙ったフィッシングおよびスミッシング；クラウド偵察 (Cloud Recon) は、ギフトカード情報を目的にSharePointとOneDriveをマイニング；内部フィッシング (Internal Phishing) は、組織内部へのフィッシングメール送信；受信トレイのルール (Inbox Rules) は、外部送信者へのメール転送設定；防御回避 (Evade Defense) は、フィッシングメールの「削除済みアイテム」への移動、デバイスの登録 (Register Device) は、認証方法の変更を示しています。](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/10/JP_Jingle-Thief.png) 図1. Microsoft 365 を横断する Jingle Thief のフィッシング攻撃チェーン デバイス登録という最終的な攻撃ステップにより、脅威アクターは足場を築き、それを悪用してギフトカードを発行し、金銭的利益を得ます 。 ### **なぜギフトカードか？選ばれる標的** ギフトカードは、換金の容易さと迅速な収益化が可能なため、金銭目的のアクターにとって非常に魅力的です 。脅威アクターは、ギフトカードをグレーマーケットのフォーラムで割引価格で転売し、ほぼ即時のキャッシュフローを可能にします 。 ギフトカードが魅力的であるその他の要因は以下の通りです: * 換金に必要な個人情報が最小限である * 追跡が困難であり、詐欺の調査や回復が難しい * 広く受け入れられており、正規の利用と見分けがつかないことが多い * 特に管轄区域をまたいだ、低リスクのマネーロンダリングに有用である * アクセス制御が弱く、広範な内部権限があり、監視やログ記録が限定的なシステムを通じて発行されることが多い 小売業の環境は、この種の攻撃に対して特に脆弱です。なぜなら、ギフトカードシステムは、店舗従業員など、広範な内部ユーザーがアクセスできることが多いためです 。これらのシステムは、複数のベンダーやプログラムをサポートしている場合があり、アクセス経路がより広く、制御が困難になっています 。 ギフトカード詐欺は、特に発行ワークフローが存在するクラウド環境へのアクセスと組み合わさると、ステルス性、スピード、スケーラビリティを兼ね備えています 。これらのシステムを悪用するために、脅威アクターは内部文書やコミュニケーションへのアクセスを必要とします 。彼らは、ギフトカードサービスを提供する標的組織の Microsoft 365 環境内で、認証情報を窃取し、静かで永続的なプレゼンスを維持することによって、これを確保することができます 。 我々が観測したキャンペーンでは、攻撃者は複数のギフトカード発行アプリケーションに対して繰り返しアクセスを試みました 。彼らは、それらを収益化するため、また、恐らくはマネーロンダリングスキームの担保としてカードを使用するために、異なるプログラムで高額なカードを発行しようとしました --- 事実上、デジタル窃盗を追跡不可能な現金や短期ローンに変えていたのです 。これらのオペレーションは、ログ記録やフォレンジックの痕跡を最小限に抑える方法で行われ、迅速な検出の可能性を低減させていました 。 ### **高度に標的化され、カスタマイズされた攻撃** Jingle Thief キャンペーンの背後にいる脅威アクターは、攻撃を開始する前に偵察に多大なリソースを投じます 。彼らは、ブランディング、ログインポータル、メールテンプレート、ドメインの命名規則など、各標的に関する情報を収集します 。これにより、ユーザーとセキュリティツールの両方にとって本物に見える、非常に説得力のあるフィッシングコンテンツを作成できます 。 フィッシングURLには、組織名、信頼できるサードパーティのツールやソフトウェアが含まれることが多く、ランディングページは正規のログイン画面を酷似しています 。この高度にカスタマイズされたソーシャルエンジニアリングのアプローチは、侵害の可能性を高め、アクターが洗練された技術を使用していることを浮き彫りにしています 。 図2は、被害組織のブランディングに合わせて、正規の Microsoft 365 ログインポータルになりすますために脅威アクターが作成した認証情報フィッシングページです 。 ![「ユーザーID」と「パスワード」の入力フィールド、および「サインイン」、「パスワードを忘れた場合」、「パスワードの変更」の各ボタンを備えた、「アカウント サインオン」インターフェースのスクリーンショット。](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/10/word-image-724619-161618-2.png) 図2. 標的組織に合わせてカスタマイズされた偽の Microsoft 365 ログインページ ### **初期アクセス: クラウド認証情報を狙ったフィッシングとスミッシング** Jingle Thief キャンペーンの背後にいる脅威アクターは、通常、カスタマイズされたフィッシングまたは SMS ベースのスミッシング攻撃からオペレーションを開始します 。これらのメッセージは、正規のサインインページを模倣した偽の Microsoft 365 ログインポータルに被害者をおびき寄せます 。一部のルアー（おとり）は、非営利団体や非政府組織（NGO）になりすましており、これは信頼性を装い、被害者のエンゲージメントを高めるためである可能性が高いです 。 注目すべきは、多くのメッセージが自己ホスト型（セルフホスト）の PHP メーラースクリプトを使用して配信されており、多くの場合、侵害またはハイジャックされた WordPress サーバーから送信されていることです。これにより、攻撃者の発信元が難読化され、配信率が向上します 。 脅威アクターは、以下のような欺瞞的なURLフォーマットも採用しています: https://organization\[.\]com@malicious.cl\[/\]workspace 上記のURLは、正規の組織のドメイン（organization.com）を指しているように見えますが、ブラウザは@より前のすべてをユーザー認証情報として解釈し、実際にはその後ろのドメイン（malicious.cl）に移動します 。この戦術は、リンクの真の宛先を偽装し、被害者がクリックする可能性を高めるのに役立ちます 。 我々が観測したキャンペーンでは、認証情報を収集した後、攻撃者は Microsoft 365 に直接認証し、マルウェアを必要とせずに環境内の探索を開始しました 。図3は、攻撃者のインフラからの悪意のある PHP メール送信ログからキャプチャされた、認証情報を収集するために使用されたスミッシングの試みを示しています 。メッセージはモロッコのIPアドレスから発信され、Verizon の SMS ゲートウェイ（vtext.com）に送信されていました。 ![日付、件名、サーバー情報といった各種メタデータフィールドが表示されているメールヘッダーのスクリーンショット。Microsoft Windows と Linux OS が使用されていることを示唆しています。2箇所が赤枠で囲まれ、強調されています。](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/10/word-image-267377-161503-3.png) 図3. 攻撃者のインフラからログに記録された、スミッシングによる認証情報フィッシング ### **クラウド偵察: SharePointとOneDriveをマイニングし、ギフトカード情報を探索** 初期アクセスの後、Jingle Thief の攻撃者は Microsoft 365 環境内で広範な偵察を行い、特に SharePoint と OneDrive に焦点を当てます 。これらのサービスには、ビジネスオペレーション、財務プロセス、ITワークフローに関連する内部文書が頻繁に含まれています 。 脅威アクターは以下を検索します: * ギフトカードの発行ワークフロー * チケットシステムのエクスポートまたは指示書 * VPN の設定およびアクセスガイド * ギフトカードの発行または追跡に使用されるスプレッドシートや内部ツール * 組織の仮想マシン、Citrix 環境 図4は、アカウント侵害後に脅威アクターがアクセスした SharePoint ファイルを示しており、ギフトカードのワークフローとリモートアクセスインフラに関連する内部文書に彼らが焦点を当てていることが明らかです 。 ![ハイパーリンクとドキュメントファイルの一覧を示すスクリーンショット。](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/10/word-image-731005-161618-4.png) 図4. 侵害後に Jingle Thief がアクセスした内部 SharePoint ファイル 脅威アクターは権限を昇格させるのではなく、侵害したユーザーがすぐに利用できるデータにアクセスすることで、状況認識（situational awareness）を構築します 。この目立たないアプローチは、将来の詐欺の土台を築きながら、検出を回避するのに役立ちます 。 ### **ラテラルムーブメント（水平展開）のための内部フィッシング** Jingle Thief は、マルウェアやポストエクスプロイテーションのフレームワークを展開する代わりに、内部フィッシングに依存して、標的環境内での足場を拡大します 。我々の顧客の1人に対して試みられた攻撃では、攻撃者はユーザーの Microsoft 365 アカウントを侵害した後、その正規のアカウントから同じ組織内の担当者にフィッシングメールを送信しました 。これらのメッセージは、IT サービスの通知やチケットの更新を装っており、内部文書や以前のコミュニケーションから収集した情報を利用して、正当に見せかけることがよくありました 。 一般的なルアー（おとり）: * 偽の ServiceNow アラート: "*INCIDENT REQ07672026 Has been completed*"（インシデント REQ07672026 は完了しました） * IT アクセス通知: "*ServiceNow Account Inactivity Notice*"（ServiceNow アカウント非アクティブ通知） * 一般的な承認プロンプト: "*Incident pending your review*"（インシデントがあなたのレビュー待ちです） これらのメールは、組織のアイデンティティでブランディングされた偽のログインポータルにリンクしており、内部の信頼を悪用して疑いを回避し、水平的に拡散（ラテラルムーブメント）します 。 図5は、侵害されたアカウントから送信された内部フィッシングメールを示しており、ServiceNow の非アクティブ通知を装って、ユーザーに認証情報を入力させようとしています 。 ![「ServiceNowアカウント非アクティブ通知」（ServiceNow Account Inactivity Notice）という件名の、ServiceNowからのメールのスクリーンショットです。受信者のアカウントで非アクティブ状態が検出されたことを警告し、アカウントの無効化を防ぐために48時間以内にアカウントのアクティビティを検証するよう要求する内容となっています。プライバシー保護の懸念から、一部の情報は墨塗りされています。](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/10/word-image-735378-161618-5.png) 図5. ServiceNow 通知を模倣した内部フィッシングメール ### **静かなメール漏洩のための受信トレイの支配** 内部コミュニケーションを受動的に監視するため、Jingle Thief キャンペーンの攻撃者は、攻撃者が制御するアドレスにメールを自動転送する受信トレイのルールを作成することがよくあります 。 彼らが監視するもの: * ギフトカードの承認 * 財務ワークフロー * IT チケットやアカウントの変更 このアプローチにより、攻撃者が積極的に対話する必要性が減り、ステルス性を維持するのに役立ちます 。図6は、悪意のある受信トレイ転送ルールの作成をフラグ付けしたアラートを示しています。これは、内部コミュニケーションを監視するためにこれらの脅威アクターが採用するステルス戦術の1つです 。 ![XDR Analyticsからのセキュリティアラートのスクリーンショット。「Exchangeの受信トレイ転送ルールが設定された」ことが、「Identity Threat」（アイデンティティ脅威）として識別されたことを示しています。](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/10/word-image-738769-161618-6.png) 図6. 脅威アクターによって設定された自動メール転送ルールを示す Cortex XDR アラート ### **ステルスなメール活動: 「灯台下暗し」の手口** 足跡を消すため、攻撃者はメールボックスのフォルダを積極的に管理します: * 送信済みのフィッシングメールを「送信済みアイテム」から「削除済みアイテム」に即座に移動する * ユーザーからの返信を「受信トレイ」から「削除済みアイテム」に移動する これにより、被害者がフィッシングメッセージや応答を目にすることがなくなり、被害者と防御者の両方による発見が遅れます 。 図7の Exchange 監査ログは、攻撃者がフィッシングメールの返信を「受信トレイ」フォルダから「削除済みアイテム」フォルダに移動している様子を示しています 。 ![「Inbox」フォルダー内にあり、送信者がすべて「MoveToDeclassifiedItems」で、件名が「Automatic reply: INCIDENT \[一連の番号\] has been completed」となっている複数のメッセージが表示されている、Eメール受信トレイのスクリーンショット。](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/10/word-image-741420-161618-7.png) 図7. 「受信トレイ」から「削除済みアイテム」に移動されたアイテム ### **永続性のための不正デバイスの支配** 我々が Jingle Thief キャンペーンで観測した侵入のほとんどは、一時的なアクセスのために盗まれた認証情報やセッショントークンに依存していました 。しかし、アクターは侵害された環境内でより長期的な永続性（persistence）を確立するための技術も示しました 。 一部の侵入では、脅威アクターは Microsoft Entra ID の正規のユーザーセルフサービスとデバイス登録メカニズムを悪用することで、アイデンティティインフラを乗っ取りました 。これらの戦術により、パスワードがリセットされたり、セッションが失効したりした後でも、アクセスを維持することができました 。 戦術には以下が含まれます: * MFAをバイパスするための不正な認証アプリの登録 * セルフサービスフローによるパスワードのリセット * 攻撃者が制御するデバイスの Entra ID への登録 図8は、Authenticator アプリを使用して Microsoft Entra ID にデバイスを登録するためのユーザーインターフェースです 。攻撃者はこの正規のプロセスを悪用して、不正なデバイスを静かに登録し、MFA耐性のあるアクセスを維持しました 。 ![Microsoft Authenticator アプリのオンボーディング画面のスクリーンショット。セキュリティ機能を表示するモバイルデバイスの隣に人物と猫が描かれたイラストが特徴です。「アカウントの追加」オプションのほか、「回復の開始」や、ユーザーがすでにバックアップを持っているか確認するためのリンクが用意されています。](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/10/word-image-744061-161618-8.png) 図8. Microsoft Entra ID でのデバイス登録フロー フィッシング、受信トレイの制御、メールの漏洩、不正なデバイスの登録といった、これらのさまざまな戦術の最終目的は、ギフトカードを大規模に取得し、収益化することです 。 ## Jingle Thief のモロッコのルーツをたどる 我々が観測したキャンペーン活動は、ほぼすべてモロッコに地理的に位置するIPアドレスから発信されていました 。インシデント全体で、Microsoft 365 のログは、これらのIPアドレスに関連する反復的なデバイスフィンガープリントとログイン行動を示しました 。VPNの背後に隠れる多くの アクターとは異なり、これらの脅威アクターは発信元を隠そうとしないことが多く、侵害されたアカウントにアクセスする際に Mysterium VPN を時折使用するだけでした 。 接続元の自律システム番号（ASN）メタデータも、以下を含むモロッコの電気通信プロバイダーと一貫して一致していました: * MT-MPLS * ASMedi * MAROCCONNECT IPおよびASNインフラに加えて、Jingle Thief はキャンペーン全体で特徴的なドメインとURL構造を再利用しています 。ドメインの命名とインフラにおけるこれらの反復的なパターンは、モロッコを拠点とする脅威グループへのアトリビューション（帰属特定）をさらに裏付けています 。 ## 結論 Jingle Thief キャンペーンは、大手小売業者のギフトカード発行システムに明確に焦点を当てていることを示しています 。攻撃者は、複数の発行アプリケーションを標的にして高額なカードを生成しました。これらは、グレーマーケットでの転売や、マネーロンダリングの連鎖における代替可能な資産（fungible assets）として利用された可能性が高いです 。ギフトカードシステムは、監視が不十分であり、内部から広くアクセス可能であることが多いため、アイデンティティベースの攻撃の魅力的な延長線上にあると言えます。適切なアカウントを侵害することにより、脅威アクターは、悪意のあるオペレーションの痕跡をほとんど残さずに、ギフトカードを発行し、盗むことができるのです 。 Jingle Thief キャンペーンの背後にある活動クラスターは、「Atlas Lion」として公に追跡されている脅威アクターの活動と重複しています 。このクラスター（Unit 42によって CL-CRI-1032 として追跡）は、マルウェアよりもアイデンティティの不正使用を好み、エンドポイントの侵害ではなく、信頼できるクラウドサービスを活用します 。彼らのキャンペーンは、攻撃者が完全にクラウド環境内で活動し、フィッシング、永続性、詐欺のために正規の機能をいかに悪用できるかを浮き彫りにしています 。 Jingle Thief キャンペーンで使用された戦術を理解することで、防御担当者はアイデンティティベースの監視をより適切に優先順位付けし、アイデンティティを「新たなセキュリティ境界（ペリメター）」として扱うという業界のシフトに適応することができます 。ユーザーの行動、ログインパターン、アイデンティティの不正使用を理解することは、早期の検出と対応のためにますます不可欠になっています 。 パロアルトネットワークスのお客様は、新しい Cortex[Advanced Email Security](https://docs-cortex.paloaltonetworks.com/r/Cortex-XDR/Cortex-XDR-4.x-Documentation/Cortex-Advanced-Email-Security-module-overview) モジュール、および Cortex[UEBA](https://www.paloaltonetworks.com/cyberpedia/what-is-user-entity-behavior-analytics-ueba) と[ITDR](https://www.paloaltonetworks.com/resources/techbriefs/identity-threat-detection-and-response-module) によって、この活動からより良く保護されます 。 万が一、侵害を受けた可能性または緊急の事態がございましたら、[Unit 42 インシデントレスポンスチーム](https://start.paloaltonetworks.com/contact-unit42.html)までご連絡いただくか、以下までお電話ください: * 北米: トールフリー: +1 (866) 486-4842 (866.4.UNIT42) * 英国: +44.20.3743.3660 * 欧州・中東: +31.20.299.3130 * アジア: +65.6983.8730 * 日本: +81.50.1790.0200 * オーストラリア: +61.2.4062.7950 * インド: 00080005045107 パロアルトネットワークスは、これらの調査結果を Cyber Threat Alliance (CTA) のメンバーと共有しています 。CTA メンバーはこのインテリジェンスを活用し、顧客への保護を迅速に展開するとともに、悪意のあるサイバーアクターを組織的に妨害します 。[Cyber Threat Alliance](https://www.cyberthreatalliance.org) の詳細をご覧ください 。 ## 侵害の痕跡 (IoC) **モロッコのインフラストラクチャ（アトリビューションシグナル）** * 105\.156.109\[.\]227 * 105\.156.234\[.\]139 * 105\.157.86\[.\]136 * 105\.158.226\[.\]49 * 105\.158.237\[.\]165 * 160\.176.128\[.\]242 * 160\.178.201\[.\]89 * 160\.179.102\[.\]157 * 196\.64.165\[.\]160 * 196\.65.139\[.\]51 * 196\.65.146\[.\]114 * 196\.65.172\[.\]48 * 196\.65.237\[.\]97 * 196\.74.125\[.\]243 * 196\.74.183\[.\]81 * 196\.77.47\[.\]232 * 196\.89.141\[.\]80 * 41\.141.201\[.\]19 * 41\.250.180\[.\]114 * 41\.250.190\[.\]104 **関連するASN組織（モロッコに地理的に位置）** * MT-MPLS * ASMedi * MAROCCONNECT **米国のインフラストラクチャ（プロキシまたは侵害されたホストの可能性）** * 70\.187.192\[.\]236 * 72\.49.91\[.\]23 **フィッシングURLのパターン:** * hxxps://\*.com.ng/\*\[brand-name\].com/home/ * hxxps://\*.\[brand-name\].servicenow.\*/\*access * hxxps://\[brand-name\].com@\*.\*/portal/ * hxxps://\[brand-name\].com@\*.\*/workspace * hxxps://\*/home * hxxps://\*/workspace/home ## 追加リソース * [Cyber Signals: Into the Lion's Den](https://news.microsoft.com/wp-content/uploads/prod/sites/626/2024/05/Cyber_Signals_Issue_7_May_2024-2.pdf) -- Microsoft * [Threat Actors Target Gift Card Issuing Systems](https://intel471.com/blog/threat-actors-target-gift-card-issuing-systems) -- Intel471 ## Jingle Thief の活動に関する Cortex XDR/XSIAM アラート 表1は、行動侵害の痕跡（BIOC）や ITDR モジュールを含む Identity Analytics を使用した、この活動に関する Cortex アラートを示しています 。 |----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------|---------------------------------------------------|------------------------------------| | **アラート名** | **アラートソース** | **MITRE ATT\&CK テクニック** | | [Exchange 受信トレイの転送ルールが設定されました](https://docs-cortex.paloaltonetworks.com/r/Cortex-XDR/Cortex-XDR-Analytics-Alert-Reference-by-Alert-name/Exchange-inbox-forwarding-rule-configured) | XDR Analytics BIOC, Identity Threat Module (ITDR) | アーティファクトの隠蔽: メール非表示ルール (T1564.008) | | [ユーザーが Exchange の送信済みメッセージを削除済みアイテムに移動しました](https://docs-cortex.paloaltonetworks.com/r/Cortex-XDR/Cortex-XDR-Analytics-Alert-Reference-by-Alert-name/User-moved-Exchange-sent-messages-to-deleted-items) | XDR Analytics, Identity Threat Module (ITDR) | 痕跡の削除: メールボックスデータの消去 (T1070.008) | | [組織内で初めての国からの接続](https://docs-cortex.paloaltonetworks.com/r/Cortex-XDR/Cortex-XDR-Analytics-Alert-Reference-by-Alert-name/First-connection-from-a-country-in-organization) | XDR Analytics BIOC, Identity Analytics | アカウントの侵害 (T1586) | | [組織内で初めてのASNからのSSOアクセス](https://docs-cortex.paloaltonetworks.com/r/Cortex-XDR/Cortex-XDR-Analytics-Alert-Reference-by-Alert-name/First-connection-from-a-country-in-organization) | XDR Analytics BIOC, Identity Analytics | 有効なアカウント: ドメインアカウント (T1078.002) | | [インポッシブルトラベラー - SSO](https://docs-cortex.paloaltonetworks.com/r/Cortex-XDR/Cortex-XDR-Analytics-Alert-Reference-by-Alert-name/Impossible-traveler-SSO) | XDR Analytics, Identity Analytics | アカウントの侵害 (T1586) | | [ユーザーが新しい国から接続しました](https://docs-cortex.paloaltonetworks.com/r/Cortex-XDR/Cortex-XDR-Analytics-Alert-Reference-by-Alert-name/A-user-connected-from-a-new-country) | XDR Analytics BIOC, Identity Analytics | アカウントの侵害 (T1586) | | [ユーザーにとって初めてのASNからのSSOアクセス](https://docs-cortex.paloaltonetworks.com/r/Cortex-XDR/Cortex-XDR-Analytics-Alert-Reference-by-Alert-name/First-SSO-access-from-ASN-for-user) | XDR Analytics BIOC, Identity Analytics | 有効なアカウント: ドメインアカウント (T1078.002) | | [ユーザーが新しい国から VPN に接続しました](https://docs-cortex.paloaltonetworks.com/r/Cortex-XDR/Cortex-XDR-Analytics-Alert-Reference-by-Alert-name/A-user-connected-to-a-VPN-from-a-new-country) | XDR Analytics BIOC, Identity Analytics | アカウントの侵害 (T1586) | | [異常なオペレーティングシステムによる VPN アクセス](https://docs-cortex.paloaltonetworks.com/r/Cortex-XDR/Cortex-XDR-Analytics-Alert-Reference-by-Alert-name/VPN-access-with-an-abnormal-operating-system) | XDR Analytics BIOC, Identity Analytics | 有効なアカウント: ドメインアカウント (T1078.002) | | [組織内で初めてのASNからのVPNアクセス](https://docs-cortex.paloaltonetworks.com/r/Cortex-XDR/Cortex-XDR-Analytics-Alert-Reference-by-Alert-name/First-VPN-access-from-ASN-in-organization) | XDR Analytics BIOC, Identity Analytics | 有効なアカウント: ドメインアカウント (T1078.002) | | [組織内で初めてのSSOリソースアクセス](https://docs-cortex.paloaltonetworks.com/r/Cortex-XDR/Cortex-XDR-Analytics-Alert-Reference-by-Alert-name/First-SSO-Resource-Access-in-the-Organization) | XDR Analytics BIOC, Identity Analytics | 有効なアカウント: ドメインアカウント (T1078.002) | | [疑わしいASNからのSSOアクセス](https://docs-cortex.paloaltonetworks.com/r/Cortex-XDR/Cortex-XDR-Analytics-Alert-Reference-by-Alert-name/Suspicious-SSO-access-from-ASN) | XDR Analytics BIOC, Identity Analytics | 有効なアカウント: ドメインアカウント (T1078.002) | | [Azure へのリスキーなログインの可能性](https://docs-cortex.paloaltonetworks.com/r/Cortex-XDR/Cortex-XDR-Analytics-Alert-Reference-by-Alert-name/A-possible-risky-login-to-Azure) | XDR Analytics BIOC, Identity Analytics | アカウントの侵害 (T1586) | | [ユーザーが疑わしい国から接続しようとしました](https://docs-cortex.paloaltonetworks.com/r/Cortex-XDR/Cortex-XDR-Analytics-Alert-Reference-by-Alert-name/User-attempted-to-connect-from-a-suspicious-country) | XDR Analytics BIOC, Identity Analytics | アカウントの侵害 (T1586) | | [新しいオペレーティングシステムによる SSO](https://docs-cortex.paloaltonetworks.com/r/Cortex-XDR/Cortex-XDR-Analytics-Alert-Reference-by-Alert-name/SSO-with-new-operating-system) | XDR Analytics BIOC, Identity Analytics | 有効なアカウント: ドメインアカウント (T1078.002) | | [SaaS サービスからの大量ファイルダウンロード](https://docs-cortex.paloaltonetworks.com/r/Cortex-XDR/Cortex-XDR-Analytics-Alert-Reference-by-Alert-name/Massive-file-downloads-from-SaaS-service) | XDR Analytics, Identity Threat Module (ITDR) | クラウドストレージからのデータ (T1530) | 表1. Jingle Thief キャンペーンの活動に関する Cortex XDR/XSIAM アラート トップに戻る ### タグ * [CL‑CRI‑1032](https://unit42.paloaltonetworks.com/ja/tag/cl-cri-1032-ja/ "CL‑CRI‑1032") * [Microsoft](https://unit42.paloaltonetworks.com/ja/tag/microsoft-ja/ "Microsoft") * [Phishing](https://unit42.paloaltonetworks.com/ja/tag/phishing-ja/ "phishing") * [Smishing](https://unit42.paloaltonetworks.com/ja/tag/smishing-ja/ "smishing") [Threat Research Center](https://unit42.paloaltonetworks.com/ja/ "Threat Research") [次ページ:脅威ブリーフィング：国家主体アクターがF5のソースコードと未公開の脆弱性を窃取](https://unit42.paloaltonetworks.com/ja/nation-state-threat-actor-steals-f5-source-code/ "脅威ブリーフィング：国家主体アクターがF5のソースコードと未公開の脆弱性を窃取") ### 目次 * ### 関連記事 * [脅威情報: 2026年イランに関するサイバー リスクの激化(4月17日更新)](https://unit42.paloaltonetworks.com/ja/iranian-cyberattacks-2026/ "article - table of contents") * [脅威情報: パロアルトネットワークスの人材獲得チームになりすました採用スキーム](https://unit42.paloaltonetworks.com/ja/phishing-attackers-pose-as-panw-recruiters/ "article - table of contents") * [Shadow Campaigns（シャドウ・キャンペーン）：世界規模のサイバースパイ活動の実態を暴く](https://unit42.paloaltonetworks.com/ja/shadow-campaigns-uncovering-global-espionage/ "article - table of contents") ## 関連項目 リソース ![Pictorial representation of autonomous AI attack in cloud environments.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/04/12_Cloud_cybersecurity_research_Overview_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2026年4月23日 [#### AIはクラウドを攻撃できるのか?自律型クラウド攻撃型マルチエージェント システムの構築から得られた教訓](https://unit42.paloaltonetworks.com/ja/autonomous-ai-cloud-attacks/) * [AI](https://unit42.paloaltonetworks.com/ja/tag/ai-ja/ "AI") * [Cloud](https://unit42.paloaltonetworks.com/ja/tag/cloud-ja/ "Cloud") * [Data exfiltration](https://unit42.paloaltonetworks.com/ja/tag/data-exfiltration-ja/ "data exfiltration") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/autonomous-ai-cloud-attacks/ "AIはクラウドを攻撃できるのか?自律型クラウド攻撃型マルチエージェント システムの構築から得られた教訓") ![Pictorial representation of Muddled Libra, aka Scattered Spider. A vibrant illustration of the Libra zodiac sign, featuring a stylized balance scale overlaid with a prominent Libra symbol. The background is a starry night sky with shades of purple and blue, suggesting a cosmic theme.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/02/03-1-Muddle-Libra-1920x900-1-786x368.png) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/threat-actor-groups.svg)脅威アクター グループ](https://unit42.paloaltonetworks.com/ja/category/threat-actor-groups-ja/) 2026年2月10日 [#### Muddled Libraのプレイブックを覗いてみよう](https://unit42.paloaltonetworks.com/ja/muddled-libra-ops-playbook/) * [Muddled Libra](https://unit42.paloaltonetworks.com/ja/tag/muddled-libra-ja/ "Muddled Libra") * [Powershell](https://unit42.paloaltonetworks.com/ja/tag/powershell-ja/ "Powershell") * [Scattered Spider](https://unit42.paloaltonetworks.com/ja/tag/scattered-spider-ja/ "Scattered Spider") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/muddled-libra-ops-playbook/ "Muddled Libraのプレイブックを覗いてみよう") ![Close-up of a black woman with glasses examining colorful computer code on a screen. The scene is illuminated by various lights, creating a focused and analytical atmosphere.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/02/13_Cloud_cybersecurity_research_Overview_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2026年2月6日 [#### クラウド脅威アクターの活動を検出する新しい手法](https://unit42.paloaltonetworks.com/ja/tracking-threat-groups-through-cloud-logging/) * [API](https://unit42.paloaltonetworks.com/ja/tag/api-ja/ "API") * [IAM](https://unit42.paloaltonetworks.com/ja/tag/iam-ja/ "IAM") * [MITRE](https://unit42.paloaltonetworks.com/ja/tag/mitre-ja/ "MITRE") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/tracking-threat-groups-through-cloud-logging/ "クラウド脅威アクターの活動を検出する新しい手法") ![Pictorial representation of threat groups from Russia. The silhouette of a bear and the Ursa constellation inside an orange abstract planet. Abstract, stylized cosmic setting with vibrant blue and purple shapes, representing space and distant planetary bodies.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/01/Ursa-Russia-B-1920x900-1-786x368.png) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/08/Insights-icon-white.svg)Insights](https://unit42.paloaltonetworks.com/ja/category/insights-ja/) 2026年1月29日 [#### 2026年冬季オリンピックに対するロシアのサイバー脅威を理解する](https://unit42.paloaltonetworks.com/ja/russian-cyberthreat-2026-winter-olympics/) * [AI](https://unit42.paloaltonetworks.com/ja/tag/ai-ja/ "AI") * [IoT](https://unit42.paloaltonetworks.com/ja/tag/iot-ja/ "IoT") * [Russia](https://unit42.paloaltonetworks.com/ja/tag/russia-ja/ "Russia") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/russian-cyberthreat-2026-winter-olympics/ "2026年冬季オリンピックに対するロシアのサイバー脅威を理解する") ![Pictorial representation of Azure OpenAI DNS resolution issue. Futuristic cityscape illustration with luminous structures and floating cloud elements, showcasing advanced technology and a dynamic, digitally enhanced environment.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/06/02_DNS_Overview_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2026年1月20日 [#### DNS OverDoS: プライベート エンドポイントはプライベートすぎるのか？](https://unit42.paloaltonetworks.com/ja/dos-attacks-and-azure-private-endpoint/) * [Microsoft Azure](https://unit42.paloaltonetworks.com/ja/tag/microsoft-azure-ja/ "Microsoft Azure") * [Networking](https://unit42.paloaltonetworks.com/ja/tag/networking/ "networking") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/dos-attacks-and-azure-private-endpoint/ "DNS OverDoS: プライベート エンドポイントはプライベートすぎるのか？") ![Pictorial representation of 01flip ransomware written in Rust. Digital artwork of a pixelated U.S. dollar bill disintegrating into small blocks against a blue data matrix background.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/12/05_Ransomware_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2025年12月10日 [#### 01flip:Rustで書かれたマルチプラットフォーム ランサムウェア](https://unit42.paloaltonetworks.com/ja/new-ransomware-01flip-written-in-rust/) * [Bitcoin](https://unit42.paloaltonetworks.com/ja/tag/bitcoin-ja/ "Bitcoin") * [CL-CRI-103](https://unit42.paloaltonetworks.com/ja/tag/cl-cri-103-ja/ "CL-CRI-103") * [Cryptocurrency](https://unit42.paloaltonetworks.com/ja/tag/cryptocurrency-ja/ "Cryptocurrency") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/new-ransomware-01flip-written-in-rust/ "01flip:Rustで書かれたマルチプラットフォーム ランサムウェア") ![Pictorial representation of malicious LLMs. Close-up view of a digital wall displaying various glowing icons, representing a high-tech network interface.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/11/AdobeStock_1270203474-786x440.jpeg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2025年11月25日 [#### AIのデュアルユースのジレンマ：悪意あるLLM](https://unit42.paloaltonetworks.com/ja/dilemma-of-ai-malicious-llm/) * [Credential Harvesting](https://unit42.paloaltonetworks.com/ja/tag/credential-harvesting-ja/ "Credential Harvesting") * [Data exfiltration](https://unit42.paloaltonetworks.com/ja/tag/data-exfiltration-ja/ "data exfiltration") * [LLM](https://unit42.paloaltonetworks.com/ja/tag/llm-ja/ "LLM") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/dilemma-of-ai-malicious-llm/ "AIのデュアルユースのジレンマ：悪意あるLLM") ![Pictorial representation of Gh0st RAT malware. A woman analyzes code on a computer screen in an office setting, with another individual working in the background.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/11/04_Security-Technology_Category_1505x922-718x440.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2025年11月14日 [#### デジタル ドッペルゲンガーGh0st RATを配信する進化するなりすましキャンペーンの分析](https://unit42.paloaltonetworks.com/ja/impersonation-campaigns-deliver-gh0st-rat/) * [DLL Sideloading](https://unit42.paloaltonetworks.com/ja/tag/dll-sideloading-ja/ "DLL Sideloading") * [Gh0st Rat](https://unit42.paloaltonetworks.com/ja/tag/gh0st-rat-ja/ "Gh0st Rat") * [PDNS](https://unit42.paloaltonetworks.com/ja/tag/pdns-ja/ "PDNS") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/impersonation-campaigns-deliver-gh0st-rat/ "デジタル ドッペルゲンガーGh0st RATを配信する進化するなりすましキャンペーンの分析") ![Pictorial representation of cloud discovery with AzureHound. A digital representation of a cloud composed of blue light particles, superimposed over a blurred background of server racks in a data center.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/10/08_Cloud_cybersecurity_research_Overview_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2025年10月24日 [#### AzureHoundを使用したクラウド ディスカバリ](https://unit42.paloaltonetworks.com/ja/threat-actor-misuse-of-azurehound/) * [Control plane](https://unit42.paloaltonetworks.com/ja/tag/control-plane-ja/ "control plane") * [Curious Serpens](https://unit42.paloaltonetworks.com/ja/tag/curious-serpens-ja/ "Curious Serpens") * [Data plane](https://unit42.paloaltonetworks.com/ja/tag/data-plane-ja/ "data plane") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/threat-actor-misuse-of-azurehound/ "AzureHoundを使用したクラウド ディスカバリ") * ![Slider arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/slider-arrow-left.svg) * ![Slider arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/slider-arrow-left.svg) ![Close button](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/close-modal.svg) ![Enlarged Image]() ![Newsletter](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/04/Unit-42_get-updates-banner.png) ![UNIT 42 Small Logo](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/palo-alto-logo-small.svg) Unit 42 からの最新情報を取得 ## 進化する脅威の状況を常に先取り メール アドレス 本フォームを送信することにより、[利用規約](https://www.paloaltonetworks.jp/legal-notices/terms-of-use)に同意し、[プライバシー ポリシー](https://www.paloaltonetworks.jp/legal-notices/privacy)を承認したことになります。 本サイトは reCAPTCHA で保護されており、Googleの[プライバシー ポリシー](https://policies.google.com/privacy) と[サービス利用規約](https://policies.google.com/terms)が適用されます。 Invalid captcha! サブスクライブ ![Right Arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/right-arrow.svg) ![loader](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-loader.svg) {#footer} 製品とサービス * [AI利用ネットワーク セキュリティ プラットフォーム](https://www.paloaltonetworks.jp/network-security) * [AIのセキュア バイ デザイン](https://www.paloaltonetworks.jp/precision-ai-security/secure-ai-by-design) * [Prisma AIRS](https://www.paloaltonetworks.jp/prisma/prisma-ai-runtime-security) * [AI Access Security](https://www.paloaltonetworks.jp/sase/ai-access-security) * [クラウド提供型セキュリティ サービス](https://www.paloaltonetworks.jp/network-security/security-subscriptions) * [Advanced Threat Prevention](https://www.paloaltonetworks.jp/network-security/advanced-threat-prevention) * [Advanced URL Filtering](https://www.paloaltonetworks.jp/network-security/advanced-url-filtering) * [Advanced WildFire](https://www.paloaltonetworks.jp/network-security/advanced-wildfire) * [Advanced DNS Security](https://www.paloaltonetworks.jp/network-security/advanced-dns-security) * [Enterprise Data Loss Prevention](https://www.paloaltonetworks.jp/sase/enterprise-data-loss-prevention) * [Enterprise IoT Security](https://www.paloaltonetworks.jp/content/pan/ja_JP/network-security/enterprise-iot-security) * [Medical IoT Security](https://www.paloaltonetworks.jp/network-security/medical-device-security) * [Industrial OT Security](https://www.paloaltonetworks.jp/content/pan/ja_JP/network-security/industrial-ot-security) * [SaaS Security](https://www.paloaltonetworks.jp/sase/saas-security) * [次世代ファイアウォール](https://www.paloaltonetworks.jp/network-security/next-generation-firewall) * [ハードウェア ファイアウォール](https://www.paloaltonetworks.jp/network-security/hardware-firewall-innovations) * [ソフトウェア ファイアウォール](https://www.paloaltonetworks.jp/network-security/software-firewalls) * [Strata Cloud Manager](https://www.paloaltonetworks.jp/network-security/strata-cloud-manager) * [SD-WAN for NGFW](https://www.paloaltonetworks.jp/network-security/sd-wan-subscription) * [PAN-OS](https://www.paloaltonetworks.jp/network-security/pan-os) * [Panorama](https://www.paloaltonetworks.jp/network-security/panorama) * [セキュア アクセス サービス エッジ](https://www.paloaltonetworks.jp/sase) * [Prisma SASE](https://www.paloaltonetworks.jp/sase) * [App Acceleration](https://www.paloaltonetworks.jp/sase/app-acceleration) * [自律型デジタルエクスペリエンス管理](https://www.paloaltonetworks.jp/sase/adem) * [Enterprise DLP](https://www.paloaltonetworks.jp/sase/enterprise-data-loss-prevention) * [Prisma Access](https://www.paloaltonetworks.jp/sase/access) * [Prisma Browser](https://www.paloaltonetworks.jp/sase/prisma-browser) * [Prisma SD-WAN](https://www.paloaltonetworks.jp/sase/sd-wan) * [リモート ブラウザ分離](https://www.paloaltonetworks.jp/sase/remote-browser-isolation) * [SaaS Security](https://www.paloaltonetworks.jp/sase/saas-security) * [AI駆動型セキュリティ運用プラットフォーム](https://www.paloaltonetworks.jp/cortex) * [Cloud Security](https://www.paloaltonetworks.jp/cortex/cloud) * [Cortex Cloud](https://www.paloaltonetworks.jp/cortex/cloud) * [Application Security](https://www.paloaltonetworks.jp/cortex/cloud/application-security) * [Cloud Posture Security](https://www.paloaltonetworks.jp/cortex/cloud/cloud-posture-security) * [Cloud Runtime Security](https://www.paloaltonetworks.jp/cortex/cloud/runtime-security) * [Prisma Cloud](https://www.paloaltonetworks.jp/prisma/cloud) * [AI駆動型SOC](https://www.paloaltonetworks.jp/cortex) * [Cortex XSIAM](https://www.paloaltonetworks.jp/cortex/cortex-xsiam) * [Cortex XDR](https://www.paloaltonetworks.jp/cortex/cortex-xdr) * [Cortex XSOAR](https://www.paloaltonetworks.jp/cortex/cortex-xsoar) * [Cortex Xpanse](https://www.paloaltonetworks.jp/cortex/cortex-xpanse) * [Unit 42マネージド ディテクション\&レスポンス](https://www.paloaltonetworks.jp/cortex/managed-detection-and-response) * [マネージドXSIAM](https://www.paloaltonetworks.jp/cortex/managed-xsiam) * [次世代のアイデンティティ セキュリティ](https://www.paloaltonetworks.jp/idira) * [特権アクセス管理](https://www.paloaltonetworks.jp/idira/human/privileged-access-management) * [アイデンティティ管理とアクセス管理](https://www.paloaltonetworks.jp/idira/human/identity-and-access-management) * [Endpoint Privilege Manager](https://www.paloaltonetworks.jp/idira/human/endpoint-privilege-manager) * [アイデンティティ ガバナンス](https://www.paloaltonetworks.jp/idira/human/identity-governance) * [従業員パスワード管理](https://www.paloaltonetworks.jp/idira/human/workforce-password-management) * [エージェンティック アイデンティティ](https://www.paloaltonetworks.jp/idira/agentic) * [シークレット管理](https://www.paloaltonetworks.jp/idira/machine/secrets-management) * [統合型シークレット ガバナンス](https://www.paloaltonetworks.jp/idira/machine/unified-secrets-governance) * [アプリケーションの認証情報配信](https://www.paloaltonetworks.jp/idira/machine/application-credentials-delivery) * [ベンダーの特権アクセス](https://www.paloaltonetworks.jp/idira/human/vendor-privileged-access) * [脅威インテリジェンス\&インシデント レスポンス サービス](https://www.paloaltonetworks.jp/unit42) * [予防評価](https://www.paloaltonetworks.jp/unit42/assess) * [インシデント レスポンス](https://www.paloaltonetworks.jp/unit42/respond) * [セキュリティ戦略を変革](https://www.paloaltonetworks.jp/unit42/transform) * [脅威インテリジェンスについて](https://www.paloaltonetworks.jp/unit42/threat-intelligence-partners) 会社名 * [パロアルトネットワークスについて](https://www.paloaltonetworks.jp/about-us) * [採用情報](https://jobs.paloaltonetworks.com/en/) * [お問合せ](https://www.paloaltonetworks.jp/company/contact-sales) * [企業責任](https://www.paloaltonetworks.com/about-us/corporate-responsibility) * [お客様向け](https://www.paloaltonetworks.jp/customers) * [IR](https://investors.paloaltonetworks.com/) * [拠点](https://www.paloaltonetworks.com/about-us/locations) * [ニュースルーム](https://www.paloaltonetworks.jp/company/newsroom) 人気のあるリンク * [ブログ](https://www.paloaltonetworks.com/blog/?lang=ja) * [コミュニティ](https://www.paloaltonetworks.com/communities) * [コンテンツライブラリ](https://www.paloaltonetworks.jp/resources) * [Cyberpedia](https://www.paloaltonetworks.jp/cyberpedia) * [イベントセンター](https://events.paloaltonetworks.com/) * [電子メール設定の管理](https://start.paloaltonetworks.com/preference-center) * [製品A〜Z](https://www.paloaltonetworks.jp/products/products-a-z) * [製品認証](https://www.paloaltonetworks.com/legal-notices/trust-center/compliance) * [脆弱性の報告](https://www.paloaltonetworks.com/security-disclosure) * [サイトマップ](https://www.paloaltonetworks.jp/sitemap) * [テクニカル ドキュメント](https://docs.paloaltonetworks.com/) * [Unit 42](https://unit42.paloaltonetworks.jp/) * [個人情報の販売および共有禁止](https://panwedd.exterro.net/portal/dsar.htm?target=panwedd) ![Palo Alto Networks Logo](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/pan-logo-dark.svg) * [プライバシー](https://www.paloaltonetworks.jp/legal-notices/privacy) * [トラスト センター](https://www.paloaltonetworks.jp/legal-notices/trust-center) * [利用規約](https://www.paloaltonetworks.jp/legal-notices/terms-of-use) * [ドキュメント](https://www.paloaltonetworks.jp/legal-notices) Copyright © 2026 Palo Alto Networks. All Rights Reserved * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/youtube-black.svg)](https://www.youtube.com/user/paloaltonetworks) * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/twitter-x-black.svg)](https://twitter.com/PaloAltoNtwks) * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/facebook-black.svg)](https://www.facebook.com/PaloAltoNetworks/) * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/linkedin-black.svg)](https://www.linkedin.com/company/palo-alto-networks) * [![](https://www.paloaltonetworks.jp/content/dam/pan/en_US/images/icons/podcast.svg)](https://unit42.paloaltonetworks.com/unit-42-threat-vector-podcast/) * JP Select your language ![Play](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-play-icon.svg) ![Pause](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-pause-icon1.svg) ![Minimize](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-minimize.svg) ![Close button](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/close-modal.svg) ### Default Heading Read the article ![Right Arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/right-arrow.svg) Seekbar ![Play](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-play-icon.svg) ![Pause](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-pause-icon1.svg) ![Volume](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-volume.svg) Volume ![Minimize](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-minimize.svg)