NEW「EmEditor」公式サイトで一時偽インストーラーがダウンロードされる状態に

バージョン25.4.3の正規インストーラーは「サイズ：80,376,832バイト」「デジタル署名: Emurasoft, Inc.」「SHA-256ハッシュ：e5f9c1e9b586b59712cefa834b67f829ccbed183c6855040e6d42f0c0c3fcb3e」で、偽のインストーラーは前述した署名の他これらの情報も異なるとされます。

先日は別のテキストエディター「Notepad++」の自動更新機能でインストーラーの検証に不備があったことが報告されています(AUS便り 2025/12/18号参照)が、もしもEmEditorの自動更新機能において同様の不備があり、その状態で偽のインストーラーを掴まされていた場合、悪意のあるバージョンのインストール等に繋がっていた恐れもあります。

詳細は不明のためあくまで推測ですが、前述したボタンのリンク先改変の他、偽のインストーラーファイル自体がEmEditor公式サイトのサーバー上に置かれていることから、サイトで使用されているWordPressにログイン、プラグインの不正なインストールを経て、ファイルアップロードが行われた可能性が考えられ、ソフトウェア(あるいは文書ファイル等でも)を配布する側においてはWebサーバー自体やWebサイトで使用しているCMS(コンテンツ管理システム)へ不正にログインされないよう防御を固めること、またクライアントPC側も不正なインストーラーの実行の遮断のみならず、アップロードするファイルが改ざんされる等のいわゆる「サプライチェーン攻撃」に対し、アンチウイルス・UTM等により防衛することが肝要です。

メールは「@outlook.com」等フリーメールからの発信とされ、またIPAが例示した以外にも複数の文面が確認されていますが、業務上の名目として相手を急がせるような内容で、またメンバーは発信元側で追加するため、作成後他のメンバーを招待していない状態でQRコードを返信するよう指示する点が共通しています。

とにかくこのような手口が出回っていることを情報収集ないし組織内で周知し、決して従わないことが重要であり、またメール・LINE・Slack等での指示・依頼の内容に万一セキュリティ面での疑義があるといった場合は適宜別の手段で連絡して確認することも考慮すべきです。