EmEditor公式サイトのダウンロード導線改ざん（偽署名MSIによる情報窃取マルウェア配布、2025年12月20日〜2026年1月2日）
公表日
EmEditorの公式サイトで、ダウンロードボタンが書き換えられ、偽のインストーラーが配られた疑いがあります。影響のおそれがある期間は2025年12月20日11:39〜2026年1月2日01:51（日本時間）で、被害者数はまだ発表されていません。
対象者は？
上記の期間に、EmEditorの公式サイトの「今すぐダウンロード」ボタンや日本語版サイトのリンクから emed64_25.4.3.msi または emed64_25.4.4.msi を入手して実行した人。自動更新、ポータブル版、ストアアプリ版、wingetでの導入・更新、ダウンロードしただけで実行していない場合は影響を受けないとされています。顧客データベースが攻撃を受けた証拠は確認されていないとされています。
入手したMSIファイルの署名者がEmurasoft, Inc.であるかと、SHA-256が公式の値と一致するかを確認します。MSIを削除済みでも、C:\Windows\Installer配下に別名で残ることがあるとされています。署名者がWALSHAM INVESTMENTS LIMITEDやGRH PSYCHIC SERVICES LTDなどの場合は注意が必要です。
いますぐできること
- 期間中に公式サイトから入手したEmEditorのMSIがあれば、署名者がEmurasoft, Inc.か、SHA-256が公式の値と一致するかを確認する。
- 署名やSHA-256が一致しないファイルを実行した場合は、端末をネットワークから切り離してマルウェアパソコンやスマートフォン、サーバーに入り込んで悪さをするソフトウェアの総称です。「ウイルス」もマルウェアの一種です。情報を盗む、データを壊す、他のパソコンへの攻撃の踏み台にする、などの目的で使われます。スキャンを行い、環境の再構築を検討する。
- そのうえで、パスワードを変更し、多要素認証（MFA）パスワード（知っているもの）に加えて、スマートフォンへの通知やコード（持っているもの）、指紋や顔（体の特徴）など、別の種類の確認を組み合わせるログイン方式です。パスワードが漏れても、それだけではログインされにくくなります。を有効にする。アンインストールだけでは不十分と案内されている。
何が起きたのか
2025年12月22日（日本語は23日）、エムソフトは、公式サイトの「Download Now」ボタンが第三者に書き換えられた疑いがあると発表しました。ボタンを押すと、同社の署名がない偽のインストーラーがダウンロードされる状態でした。偽のインストーラーを実行すると、外部のサイトからプログラムを取得して動かし、ブラウザの保存情報などを盗む情報窃取マルウェアパソコンやスマートフォン、サーバーに入り込んで悪さをするソフトウェアの総称です。「ウイルス」もマルウェアの一種です。情報を盗む、データを壊す、他のパソコンへの攻撃の踏み台にする、などの目的で使われます。に感染するおそれがあります。その後、日本語版サイトでも12月31日から1月2日にかけて別の偽インストーラーへの誘導が見つかりました。1月7日、同社はこれらを同一の攻撃者による一連の攻撃の可能性が高いとして、期間をまとめて公表しました。
なぜ起きたのか・なぜ広がったのか
サイト上に外部から侵入されたあとが見つかり、ダウンロードリンクを書き換えるスクリプトが仕込まれていました。ログインしていない訪問者にだけ働く設定で、管理者が気付きにくかったと同社は説明しています。最初の侵入経路は調査中で、WordPressの脆弱性、またはSFTPアカウントが狙われた可能性が挙げられています。偽のインストーラーはEmEditor本体も正常にインストールするため、利用者も気付きにくいとされています。
いまの状況2026-01-07 時点続報待ち
2026-01-07時点で、同社は悪意あるファイルの削除、署名の失効（Microsoftが失効）、ダウンロードリンクの直リンク化、SHA-256の掲載を行い、WordPressをやめて静的サイトへ移行しました。フォーラムは閲覧専用になり、新規登録は終了しています。原因の最終結論と被害者数はまだ発表されていません。
企業として考えたいこと
自社のWebサイトからソフトや資料を配布している場合、ダウンロードボタンの遷移先とファイルが書き換えられていないことを、ログインしていない状態で定期的に確認できていますか。
技術的な要約
エムソフトは2025年12月22日（日本語報道では23日）、EmEditor公式サイトの「Download Now」ボタンのリダイレクトが第三者に改ざんされ、同社署名のない偽のemed64_25.4.3.msiが配布された疑いがあると公表した。偽インストーラーはPowerShellで外部ドメインからコードを取得・実行し、多段階の情報窃取マルウェアに感染させるものだった。2026年1月7日の整理では、別件としていた12月31日〜1月2日の改ざん（emed64_25.4.4.msi、署名者GRH PSYCHIC SERVICES LTD）も同一攻撃者による一連の攻撃の可能性が高いとされ、確認推奨期間は2025年12月20日11:39〜2026年1月2日01:51（JST）に統合された。侵入経路は調査中で、WordPress由来の脆弱性またはSFTPアカウントが狙われた可能性が挙げられている。同社はWordPressをやめて静的サイトへ移行し、顧客データベースへの攻撃の証拠は確認されていないとしている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公表で確認侵入経路は調査中。エムソフトは「WordPress（本体・プラグイン・テーマ等）由来の脆弱性が残存していた可能性、あるいはSFTPアカウントが攻撃対象になった可能性を排除できない」と説明している。サイト上ではプラグインディレクトリ配下のバックドア base64.php（RCE）が見つかり、テーマのfooter.php（後にfunctions.phpの改変も報じられた）にダウンロードクリックを横取りするスクリプトが追加されていた。
- 脆弱性
- CVE 非公表不明WordPress（本体・プラグイン・テーマ等）未修正の脆弱性が悪用された可能性があるとされるが、CVEや具体的な製品は公表されていない。SFTPアカウントが狙われた可能性も併記されている。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 公式サイトの改ざん対策としてサイトを一時閉鎖し、WordPressを廃止して静的サイトへ移行した。これに伴いフォーラムは閲覧専用となり、新規メンバー登録は終了した。期間：偽インストーラー配布の影響のおそれがある期間は2025年12月20日11:39〜2026年1月2日01:51（JST）。
- データ
- おそれ上限 —確定 —その他被害者数は公表されていない。偽インストーラー実行端末では、ブラウザ情報（Cookieや保存パスワード等）の窃取、フォーム窃取、暗号資産アドレスのすり替え等のおそれがあるとされる。TrendAI Researchは、告知前にすでに侵害された利用者がいる可能性が高いとしている。エムソフト カスタマーセンターと顧客データベースが攻撃を受けた証拠は確認されていない。
- 波及先
- —
- 公式サイトの「Download Now」ボタンや日本語版サイトのリンクから、影響期間中にemed64_25.4.3.msi / emed64_25.4.4.msiを入手して実行した利用者
- 金銭影響
- —
- サプライチェーン
- 公式サイトの配布導線が改ざんされ、署名者が異なる偽のMSIが利用者に配布された。更新チェッカー・自動更新、download.emeditor.info、ポータブル版、ストアアプリ版、wingetは影響を受けないとされた。
時系列
- 2025-12-20 11:39
- 2025-12-22エムソフトが、公式サイトの「Download Now」ボタンで第三者による不正な改ざんが疑われる事案を公表した。7
- 2025-12-23 05:50
- 2025-12-23
- 2025-12-28 04:38GRH PSYCHIC SERVICES LTD署名付きのemed64_25.4.3.msiがサイト内に置かれていた期間の開始（〜2026-01-01 10:06 JST）。2
- 2025-12-29
- 2025-12-31 18:26emed64_25.4.4.msiの日本語版サイトでの影響のおそれがある期間の開始（開始時刻はこれより後の可能性がある）。8
- 2026-01-02 01:51
- 2026-01-04
- 2026-01-07エムソフトが追加情報と全体の整理を公表した。両事象を同一攻撃者による一連の攻撃の可能性が高いとして期間を統合し、WordPressを廃止して静的サイトへ移行したことを説明した。2
- 2026-01-22TrendAI Researchが、多段階の情報窃取マルウェアを使った水飲み場型攻撃として分析を公開した。9
技術解説
攻撃の構造：ダウンロード導線の差し替え 事実
エムソフトの公表によると、公式サイトの「Download Now」ボタンは、通常はサポートサイト上のURLを経由して正規の配布先へ誘導される設計だった。影響期間中にこのリダイレクト設定が第三者により改変され、サイト内（wp-content/uploads配下）に置かれた別のemed64_25.4.3.msiへ誘導されたとされる。サイト上ではプラグインディレクトリ配下のバックドア base64.php（RCE）が見つかり、テーマのfooter.phpにはクリックを横取りするスクリプトが追加されていた。このスクリプトはログインしていない訪問者にのみ作動する設定で、管理者が再現・検知しにくかったと同社は説明している。以上は公式に示された事実であり、配布物そのものではなく配布の入口が差し替えられた点が、この事案の構造上の特徴である。
偽インストーラーの挙動と確認された兆候 事実
公表によれば、偽のMSIは実行時にPowerShellで外部ドメイン（当初はemeditorjp[.]com）からコンテンツを取得して実行しようとする。エムソフトは、正規のEmEditor本体も通常どおりインストールされるため気付きにくいと説明している。署名はWALSHAM INVESTMENTS LIMITEDまたはGRH PSYCHIC SERVICES LTDで、署名の有効期間は数日と短い。感染の可能性が高い兆候として、スケジュールタスク「Google Drive Caching」、C:\ProgramData\tmp_mojo.log、同名のブラウザ拡張機能、cachingdrive[.]comなどへの通信痕跡が挙げられている。TrendAI Researchは、多段階でコードを取得し、ブラウザ情報の窃取や暗号資産アドレスのすり替えなどを行うと分析している。
期間の統合と被害規模の不確実性 事実
当初は2025年12月20日11:39〜23日5:50（JST）が影響のおそれのある期間とされた。その後、日本語版サイトでの12月31日〜1月2日の改ざん（emed64_25.4.4.msi）が別件として発表された。1月7日の整理で、改ざん手口が同一などの理由から同一攻撃者の一連の攻撃の可能性が高いとされ、期間は12月20日11:39〜1月2日01:51に統合された。同社はこの期間を広めに見積もったもので実際はより短い可能性があるとも述べている。一方、実行した利用者の数や情報が実際に窃取された件数は公表されていない。TrendAI Researchは告知前にすでに侵害された利用者がいる可能性が高いとしているが、人数は示されていない。
侵入経路の評価と事案の見方 解釈
侵入経路は公式には調査中で、WordPress由来の脆弱性、またはSFTPアカウントが狙われた可能性が挙げられているにとどまる。base64.phpの存在はサイトへの外部からの書き込みがあったことを示すが、最初の侵入口が何かは公表情報からは判断できない。解釈として、攻撃が改ざんの検知後も繰り返された点は、最初の対処後も攻撃者がサイト内に何らかの足掛かりを残していた可能性を示唆する。ただし、同社は再構築後も別の改ざんが起きたとは書いておらず、残存の有無は確認できていない。同社が動作確認のしにくいログイン時のみ非表示という仕込みを説明し、署名失効や静的サイト化まで具体的に公表した点は、利用者が自己確認できる情報を提供した対応として評価できる。
対応
- 封じ込め
- 悪意あるMSIの削除、サイトの一時閉鎖と差分調査、サイト全体のスキャン、サイト再構築とプラグイン再インストール、社内PCのスキャン、全WordPressサイトと関連サービスのパスワード変更を実施した。Microsoftに報告して署名の失効を依頼し、両署名の失効を確認した。ダウンロードボタンのリダイレクトを廃止して検証済みファイルへの直接リンクに置き換え、SHA-256を掲載した。その後WordPressの利用を中止し、HTMLベースの静的サイトへ移行した。
- 公表の仕方
- 2025年12月22日（日本語は23日）に第1報を公表し、12月29日に続報、2026年1月4日に日本語版サイトの別件を発表、1月7日に全体を整理して公表した。利用者には署名とSHA-256の確認を求め、署名不一致の場合はネットワーク切断、マルウェアスキャン、環境再構築の検討、パスワード変更、MFA有効化を案内した。同社は、顧客が被害を受けたことについて全責任を負うとしている。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| ダウンロード導線の改ざんは、署名を持たない配布物の差し替えという形で利用者に届く。 | 配布ページに署名者とSHA-256を明記し、リダイレクトを使わず検証済みファイルへの直接リンクにする。CIで公開前後のハッシュ照合を自動化する。 |
| ログイン中の管理者には見えない改ざんは、運営側の目視確認では見つけにくい。 | 未ログインの状態で外部から定期的にダウンロードリンクの遷移先とハッシュを巡回確認する監視を置く。ファイル変更監視でテーマやプラグイン配下のPHP追加・変更を検知する。 |
| CMSの構成要素と管理用アカウントは侵入口になりうるため、攻撃面を小さくする設計が有効である。 | 配布用の静的サイトを動的CMSから分離する。プラグインを最小化し、SFTPは鍵認証・接続元制限・MFAで保護する。アップロード先ディレクトリでのPHP実行を禁止する。 |
| 短期有効の署名が悪用されたため、署名があるだけでは安全の根拠にならない。 | 署名の有無だけでなく署名者名が期待どおりかを検証する。社内配布や自動インストールの手順に署名者の許可リストとハッシュ照合を組み込む。 |
| アンインストールだけでは感染の除去にならず、インストール時のMSIが別名で残ることもある。 | EDRなどで該当期間のインストール履歴と通信先を遡って調べ、スケジュールタスクやブラウザ拡張の兆候（IOC）をスイープする。感染時は端末再構築と認証情報の変更をセットで実施する手順を用意する。 |
自組織などでの確認項目
- 自組織が公開しているダウンロードページで、ボタンのリンク先とファイルのハッシュを、ログインしていない状態で定期的に確認する仕組みはありますか。
- 社内で使っているソフトの入手経路（公式サイト、winget、自動更新など）は台帳で把握できていますか。2025年12月20日〜2026年1月2日に公式サイトからEmEditorを入手した端末を洗い出せますか。
- 自組織のWebサイトで、テーマやプラグイン配下のファイルが追加・変更されたとき、誰がどれくらいの時間で気付く体制になっていますか。
- 署名やハッシュが一致しないファイルを実行した疑いが出たとき、端末のネットワーク隔離からパスワード変更までの手順は定まっていますか。
未解明点
- 最初の侵入経路（WordPress由来の脆弱性かSFTPアカウントか）は確定していない。
- 偽インストーラーを実行した利用者の数と、実際に情報が窃取された件数は公表されていない。
- 1月7日の統合は同一攻撃者の可能性が高いという推定であり、今後更新される可能性があるとされている。
- 既報以外の改ざんファイルが混入していた可能性を、同社は否定できないとしている。
出典
- 1
- 2セキュリティ対策Lab(合同会社ロケットボーイズ)2026-01-09報道本文確認済
- 3セキュリティ対策Lab(合同会社ロケットボーイズ)2025-12-25報道本文確認済
- 4ScanNetSecurity2025-12-26報道本文確認済
- 5ScanNetSecurity2026-01-09報道本文確認済
- 6Emurasoft, Inc.2025-12-29公式本文確認済
- 7Emurasoft, Inc.2025-12-22公式本文確認済
- 8GIGAZINE2026-01-07報道本文確認済
- 9Trend Micro (TrendAI Research)2026-01-22研究者本文確認済