RMM（リモート監視管理） とは？

本来はすごく便利な正規ツールだよ。IT管理者が会社中のPCをリモートで一括管理するためのもので、DattoやITarianが有名だよ。「社員Aさんのパソコンが遅い」→管理者が画面を見ながらリモートで設定変更、みたいなことが会社にいなくてもできるんだ。

問題はRMMが「一度インストールされると外部からの遠隔操作を許可する」機能を持っていることだよ。攻撃者が正規ユーザーを騙してRMMをインストールさせれば、そのPCに永続的なバックドアアクセスを確立できるんだ。しかも正規のソフトウェアだからウイルス対策ソフトが「許可リスト」に入れていることも多くて検出されにくい。

フィッシングメールや偽のソフトウェアアップデート通知を使うことが多いよ。「セキュリティソフトの更新が必要です」「会社のITヘルプデスクからのインストーラーです」と偽って送りつけるんだ。2026年のn8nウェブフック悪用事件では、DattoとITarianの偽インストーラーが使われたよ。

そうだよ。LOTL（Living-off-the-Land、土地の物で生きる）攻撃は、OSの標準コマンドや正規の商用ツールを悪用して攻撃することで、マルウェア検出を回避する手法だよ。RMMはその代表的なターゲットで、CISAやFBIも正規RMMツールの悪用に警戒するよう企業に呼びかけているんだ。

主な対策は3つだよ。①承認されていないRMMツールの新規インストールをエンドポイント保護でブロックする。②どのRMMツールが社内に存在するか棚卸しして、不審なものをすぐ検出できるようにする。③RMMツールを使う際はVPNや多要素認証で接続を保護する。「正規ツールだから安全」という思い込みをなくすことが大切だよ。