身に覚えのない.pubファイル、開いても大丈夫？

Publisherのファイルには、マルウェアの運び手としての実績があります。SANS ISCやBitdefenderのセキュリティ研究者は、攻撃者が請求書・発注書・配送通知を装ったフィッシングメールに.pubファイルを添付する事例を記録してきました。受信者がこの形式を見慣れておらず、.exeや.zipより信用しやすいことを狙った手口です。Microsoft Publisherで開くと「コンテンツの有効化」を促し、隠されたVBAマクロやVBScriptが実行され、外部サーバーから本体のペイロードをダウンロードするものもあります。

危険なのは.pubという形式そのものではありません。Publisherの文書は、WordやExcelのファイルと同じく、テキスト・レイアウト・埋め込み画像の入れ物にすぎないからです。リスクは、承認すればPublisherが実行できてしまうオプションのマクロコードにあります。慎重な受信者が飛ばしたいのは、まさにその一歩です。何も実行させずに、中身だけを確認したいのです。

PubOpenerはそのための道具です。ブラウザのメモリ内でJavaScriptを使って.pubファイルの内部構造を直接読み取り、テキストと埋め込み画像を取り出してプレビューや書き出しとして並べます。ファイルをMicrosoft Publisherに渡すことも、マクロエンジンを起動することも、ファイルが含むスクリプトを実行することもありません。ファイル自体も端末を離れません。アップロードがないので、サーバー側で露出することもありません。これはウイルス対策ソフトではなく「安全」と証明するものでもありませんが、.pubを使った攻撃のほとんどが依存する仕組み（Officeのマクロ実行）を取り除いたうえで、どう扱うかを判断する前に内容を確認できます。

2026年10月にMicrosoftがPublisherのサポートを終了すると、Publisherが入っていない状態で古い.pubを開かざるを得ない人が増えます。見知らぬサイトからデスクトップ用のコンバーターをダウンロードするより、ブラウザで完結しインストール不要のビューアーのほうが、初期設定として安全です。