Ivanti EPMMのRCE攻撃が拡大：認証コードとメールの“分離”で被害を小さくする方法
2026年2月15日更新 · 読了時間12分
RCE（リモートコード実行）のニュースは、つい「パッチを当てよう」で終わりがちです。しかし現場で厄介なのは、侵害が発生した後に、メールと認証情報が“連鎖”して被害が広がることです。特に、MDMやモバイル管理に絡むインシデントでは、端末・VPN・社内SaaS・メールが相互に絡み合い、復旧のコストが跳ね上がります。
直近24時間の話題として、BleepingComputerのRSSで「Ivanti Endpoint Manager Mobile（EPMM）のRCE脆弱性が活発に悪用され、特定の攻撃者が大半を占めている」という趣旨の記事が掲載されました（参考：One threat actor responsible for 83% of recent Ivanti RCE attacks）。本記事では技術詳細の追いかけだけでなく、「メールの入口」と「認証コード（OTP）の出口」を分離して、侵害後のドミノ倒しを止める実践策を整理します。
なぜRCEの後に“メール”が燃え広がるのか
RCE自体は「侵入の手段」に過ぎません。侵入が成立した後、攻撃者が本当に欲しいのは、横展開に使える権限と、永続化できる足場です。そこで頻繁に狙われるのが、メールです。理由は単純で、メールは次の3つを同時に満たす“ハブ”だからです。
- アカウント復旧の鍵：多くのサービスが「メールでリセット」を採用している
- 本人確認の通路：OTPやログイン通知がメールに飛ぶ構造がまだ残っている
- 社内の文脈：スレッド、添付、署名、取引先情報が詐欺の材料になる
つまり、脆弱性がIvantiであっても、最終的な被害は「メールの乗っ取り」「なりすまし」「認証コードの奪取」「SaaSの再侵害」に繋がりやすい。ここを逆手に取れば、メールと認証コードを分離するだけで、侵害後の被害半径を小さくできます。
被害を小さくする設計：メールとOTPの“分離”という考え方
「分離」と言うと難しく聞こえますが、要点は次の2つです。
分離の2原則
原則1：サービスごとにメールアドレスを分ける
同じメールを複数サービスに使い回すと、1箇所の侵害が連鎖します。登録用は使い捨て（捨てメール）、重要な連絡は限定転送、といった形で入口を細くします。
原則2：OTP（認証コード）の受け取り口をメールから外す
OTPがメールに来る設計は、メールが落ちた瞬間に負けます。可能なら認証アプリやハードウェアキーへ移行し、メールに残る場合は“隔離”して被害を限定します。
実践手順：Ivanti/MDMインシデントの時に効く「三段ブレーキ」
ここからは、脆弱性の種類に関係なく使える、現実的な手順です。ポイントは、攻撃者が好む“復旧経路”を潰すこと。私はこれを三段ブレーキと呼んでいます。
1 登録メールの棚卸し（入口を減らす）
まず、どのSaaS・管理画面・ベンダーポータルに、同じメールが使われているかを把握します。侵害が疑われる時点で「登録メールの共有」が多いほど、被害が指数関数的に増えます。
チェックリスト（例）
- MDM/IdP/メール管理/クラウド管理の連絡先メールを列挙
- 取引先ポータル（請求/サポート）の登録メールも含める
- 同一メールの“使い回し”があれば優先的に分離計画を立てる
2 OTPの隔離（出口を変える）
次に、OTPの受け取りを見直します。理想は「メールにOTPを送らない」ですが、移行に時間がかかる場合は、OTP専用の受信口を作って隔離します。隔離の狙いは、メールが侵害されても、攻撃者が“全部”を奪えないようにすることです。
例えば、サービス登録は使い捨てメールで行い、OTPだけは限定転送の別経路にする。あるいは、OTPが飛ぶメールボックスに外部転送を禁止し、ログイン通知を厳格に監視する。重要なのは、「侵害＝即全滅」の構造を崩すことです。
現実的な優先順位
- 最優先：認証アプリ（TOTP）またはハードウェアキーへ移行
- 次善：OTP専用メールを用意し、利用サービスを最小限に限定
- 最終手段：メールOTPを残すなら、ログ監視と転送制限を強化
3 “復旧の連鎖”を止める（パスワードリセットの設計）
攻撃者は、侵害した環境から次の環境へ移るために、パスワードリセットの仕組みを悪用します。ここで効くのが、サービスごとにメールを分けるという設計です。たとえば、SNS・マーケ・広告管理などは漏洩しやすい領域で、メールアドレスが外に出やすい。ここに本命のメールを使わないだけで、フィッシングやスパムの受信量は大きく減ります。
さらに、重要SaaS（会計、決済、IdP、MDMなど）は「登録メール＝復旧メール＝通知メール」を同一にしない方が安全です。通知は見たいが、復旧はさせたくない。運用が許せば、用途別に分けることで、攻撃者が一度の侵害で得られる利益を減らせます。
TempForwardでできること：捨てメールを“盾”として使う
TempForwardは、使い捨てメール（捨てメール）を「単なる一時アドレス」ではなく、メールプライバシーと迷惑メール対策のための分離ツールとして使える設計を目指しています。今回のようにRCEやMDMの話題でも、効果が出るのは“侵害後”です。入口を細くし、OTPや重要通知の流れを整理しておけば、インシデントの火消しが早くなります。
サービスごとに入口を分離
登録用のメールを分けるだけで、フィッシングやスパムの“当たり”が減ります。漏洩しても影響範囲を限定できます。
迷惑メールの遮断が早い
不要になった入口は止める。スパム対策は“継続的な掃除”が勝ち筋です。
本命アドレスの露出を減らす
本命アドレスは、復旧や重要連絡など“本当に必要な相手”だけに使う方が安全です。
ルールを運用に落とし込める
「どこに何のメールを使うか」を決めるだけで、インシデント時の対応が速くなります。
まとめ：パッチ＋分離で“復旧コスト”を下げる
RCEのニュースは怖いですが、全てをゼロにすることはできません。現実の勝ち筋は、侵害を前提に被害を小さくする設計を、普段から入れておくことです。
具体的には、（1）サービスごとに登録メールを分ける、（2）OTPの受け取りをメールから外す/隔離する、（3）復旧経路を用途別に設計する。この3つだけで、フィッシングや迷惑メールへの耐性が上がり、インシデント時の燃え広がりも抑えられます。
もし今、「何から始めればいいかわからない」なら、まずは外部サービス登録のメールを分離するところから始めてください。小さな変更ですが、積み上げるほど効きます。