セキュリティ

DAEMON Tools侵害、開発元が「12時間対応」を強調

DAEMON Tools(デーモンツール)を開発するDisc Soft Limitedが、公式インストーラーへのバックドア混入を正式に認めた。「発覚から12時間以内に対応」と強調するが、配布が1か月続いた事実への説明は乏しい。

岬徹

2026年5月7日 12:0400

開発元が公式に侵害を認めた

カスペルスキーが5月5日に侵害を公表してから約1日後、開発元のDisc Soft Limited(以下、Disc Soft)が正式に事実を認めた。BleepingComputerに対して声明を出し、別途自社サイト上でも公表している。

声明の核心はこうだ。Disc Softによれば、問題を特定してから 12時間以内に対応 したとのこと。そして影響範囲については、無料版の「DAEMON Tools Lite」に限定されており、有償版であるDAEMON Tools ProとDAEMON Tools Ultraは無事だとしている。「全DAEMON Tools利用者が影響を受けた」とする一部報道に対しては、その根拠を確認できないと反論する形だ。

新版として v12.6.0.2445 が5月5日付で公開された。カスペルスキーも検証を行い、新版にはマルウェアの挙動が含まれていないことを確認済みだ。改ざんされた旧版はすでに公式サイトから削除されており、サイト上には最新版へのアップデートを促す警告が表示されるようになった。

問題を特定してから12時間以内に解決策を実装できた。現時点の調査結果に基づくと、影響は無料版のDAEMON Tools Liteに限定されており、他の製品には影響していない。

もっとも、攻撃者の特定や、攻撃者がどうやって正規の署名つきインストーラーを書き換えるに至ったのか、いわゆる侵入経路(attack vector)については、Disc Softは現時点で開示していない。「インフラのセキュリティは確保した」とだけ述べている状態だ。

「12時間」という数字の置き場所

声明を読んで違和感を覚える部分がある。それは「12時間」という数字の置かれ方だ。

Disc Softが言っているのは、「発覚から12時間以内」に対応したということ。これは事実として正しい。新版が出たのは5月5日、カスペルスキーが情報を公表したのが日本時間で5月5日深夜から6日にかけて、Disc Softの公式声明が5月6日。確かに発覚から半日強で動いた計算になる。

しかし、利用者から見たときに問題なのは「発覚後の12時間」ではなく、発覚前の約1か月 のほうだ。

トロイの木馬化されたインストーラーは2026年4月8日から配布されており、世界100か国以上、数千件規模で感染試行が観測されている。この約1か月のあいだ、Disc Softは気付いていなかった。配布元は自社の正規サーバーで、ファイルには自社の正規デジタル証明書が入っており、何らかの形で自社のビルドパイプラインが侵害された可能性が高い。それでも、外部のセキュリティ企業が指摘するまで、誰も異変に気付かなかった。

「12時間」という数字は迅速な対応の象徴として響くが、その手前にある「気付かなかった1か月」を希釈する効果も持つ。利用者にとっての本当の損失は、その1か月のほうで、すでに確定している。

「Pro/Ultraは絶対安全」という主張の難しさ

もうひとつ、慎重に受け止める必要がある主張がある。Disc Softは「DAEMON Tools ProとDAEMON Tools Ultraは影響を受けていない、絶対安全(absolutely safe)だ」と断言している。

これは利用者を安心させたい気持ちは分かる。しかし「絶対安全」と言い切るには、本来は 侵入経路の特定が前提 になるはずだ。

カスペルスキー自身も初期のレポートでは「DAEMON Toolsバージョン12.5.0.2421から現在のリリースまで影響している」と記述しており、Liteと有償版の境界がどこにあるのかは外部からは見えにくい。Disc Softが「Pro/Ultraは安全」と判断した根拠は、現在の調査結果にもとづくものであって、最終結論ではない。同社自身、有償版利用者への影響については「現時点では確認できる立場にない」と慎重な言い回しもしている。「絶対」と「現時点では確認できない」が同じ声明に同居している状態だ。

「絶対安全」と「現時点では確認できない」。Disc Softの声明には、この二つの異なる温度の文言が並んでいる。有償版利用者が「自分は無関係だ」と判断するのはまだ早い。少なくとも今後数週間、追加調査の結果を待つ姿勢が現実的だろう。

カスペルスキーが残した宿題

カスペルスキーの上級研究員、ゲオルギー・クチェリン(Georgy Kucherin)は今回の事案について、公式ベンダーから直接ダウンロードしたデジタル署名つきソフトを利用者は無条件に信頼する、だからこそ従来の境界防御をすり抜けるのだと指摘している。

そして検出までに約1か月を要したという事実は、攻撃者の能力の高さを示すと同時に、防御側の検知能力の限界も露呈させた。攻撃者は正規の証明書、正規のドメイン、正規のインストーラーという三層の信頼を同時に汚染することに成功している。利用者が頼れる従来の手がかり、たとえば「公式サイトからダウンロードする」「署名を確認する」といった行為は、今回の事案では役に立たなかった。

カスペルスキーは2026年に入ってから、eScan(1月)、Notepad++(2月)、CPU-Z(4月)、そして今回のDAEMON Tools(5月)と、月例のように大規模なソフトウェアサプライチェーン攻撃を調査している。今回もまた「ゼロトラスト」を本気で実装する段階に来ていることを示す事案となった。

利用者が今やるべきこと

DAEMON Tools Liteを2026年4月8日以降にダウンロードしたあるいはアップデートした覚えがあるなら、対応はシンプルだ。

該当バージョン12.5.0.2421から12.5.0.2434のいずれかが入っていれば、まずアプリをアンインストールする。次に信頼できるアンチウイルスソフトでフルスキャンをかける。そのうえで、公式サイトから新版 v12.6.0 をダウンロードし直す。組織のIT担当であれば、ネットワーク内のDAEMON Tools搭載端末を洗い出し、4月8日以降の異常な通信やプロセス起動の痕跡を確認する手順になる。侵害の痕跡情報(IoC)はカスペルスキーがSecurelistで公開している。