2026.11.11（水）
- 注目検索ワード
現状を把握するためのサイバー脅威情勢、被害を防ぐ対策側の最新動向、そして各々の立場での被害抑制に向けた取り組みを紹介します。（平塚伸世氏）
2023 年の 38% から 2025 年には 73% へ。世界 12 か国の比較で日本の感染率の伸び率が最大に。
ランサムウェア感染率、身代金支払いとサイバー保険の実態から、日本企業が見直すべきランサムウェア対策を考える。
「PQC は今後の動向を注視しておこう」というところから一歩進んで、「では、自分たちの組織では何を調べればよいのか」と考え始めるきっかけになればと思っています。聞いた翌日にすぐ移行できるわけではありませんし、対応製品がまだ存在しない領域もあります。それでも、自分たちがどこで暗号を使っているのか、どこが重要なのか、将来どのような順番で移行するのかといった点は、今の段階から整理できます。（吉川知輝氏）
「AIの進化が脆弱性対応にどう影響するのか分からない」「これまでの対応方法で十分なのか不安」という方にも、ぜひ参加していただきたい内容です。「AIと脆弱性対応に関心はあるけれど、詳しい知識はない」という方も、気軽にご参加ください。
ラージ氏は、悪用には OT の深い知識も、粒子加速器や核融合炉の仕組みの理解も必要ないと付け加えた。「従来型の悪用スキルがあれば調査できるし、能力を高めつつある AI システムが、OT の専門知識がなくてもエクスプロイトの開発を助けるようになる可能性がある」
GMOクリック証券株式会社は10月23日、自動売買ツールによるものと考えられる不正取引について、注意喚起を発表した。
静岡県焼津市は10月21日、株式会社トラストバンクが運営するふるさと納税ポータルサイト「ふるさとチョイス」への不正アクセスについて発表した。
株式会社マクニカのセキュリティ研究センターは 10 月 7 日、国内法人が運営する Web システムからの情報漏えいが相次いでいる事案について、2026 年 10 月 6 日時点で判明している被害や攻撃手法をブログで公表した。
Tenable は、Anthropic 社の Claude Mythos 5 を当社のエンタープライズ向けセキュリティ製品群に組み込みます。Tenable One サイバーエクスポージャー管理プラットフォームに最先端の敵対的推論機能を追加することで、お客様は攻撃者がどのように自社の環境に侵入してくるかをより的確に予測し、AI によるリスクに先手を打つことができるようになります。 最初のイノベーションである Tenable One Adversary View は、今後数週間以内に公開される予定です。
内閣官房国家サイバー統括室は10月9日、不正アクセスによる漏えい等の事案を踏まえた対応について発表した。
総務省は10月9日、不正アクセスによる情報漏えい等の事案を踏まえた対応について、注意喚起を発表した。
独立行政法人情報処理推進機構（IPA）は10月9日、不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について発表した。
![セキュリティは壁を高くする時代から 攻撃基盤そのものに働きかける時代へ ほか [Scan PREMIUM Monthly Executive Summary 2026年9月度] 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/55398.png)
レポートでは 12 月 ～ 8 月に遮断した Claude の悪用を、サイバー攻撃、影響工作、監視、詐欺、生物学的悪用、通常兵器開発、モデル蒸留の 7 分野に整理して報告しています。個人的に特に興味深かったのは、安全保障上の重要性が高い「Surveillance operations（監視活動）」です。同章で示されているのは、AI が OSINT 分析だけでなく、対象者の発見、評価、監視、さらには HUMINT につながる活動まで、一連の情報活動のワークフローに組み込まれつつあることです。
独立行政法人大学入試センターは9月30日、大学入試センター公式SNSの「偽アカウント」への注意喚起を発表した。
警察庁は10月8日、サイバー警察局便りR8Vol.19「情報流出に注意」を公開した。
一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は10月9日、国内組織で相次ぐ不正アクセスへの注意喚起を発表した。
M365 の運用で厄介なのは、必ずしも最初から設定を間違えていることではない。導入時には適切だった設定が、業務上の一時変更や担当者の異動、Microsoft 側の機能追加などを経て、いつの間にか本来あるべき状態から離れていくことである。
チェック・ポイント・ソフトウェア・テクノロジーズ株式会社は9月25日、組織的なソーシャルエンジニアリングキャンペーンについての調査結果を発表した。
AI 需要の高まりは、AI アカウント乗っ取りや無料特典の悪用で得たアクセス権を転売する違法市場を生み出している
弥生株式会社は9月28日、同社が提供するクラウド請求書作成ソフト「Misoca」のメール送信機能を悪用した不審メールへの注意喚起を発表した。
警察庁は9月18日、サイバー警察局便りR8Vol.16「ランサムウェア被害拡大中」を公開した。
2026年8月に開催された「DEF CON 34 CTF Finals」にて、GMOサイバーセキュリティ byイエラエのエンジニアが参加する国際合同チーム Blue Water が世界1位を獲得しました。2006年の初挑戦から20年、人数の壁などに阻まれ敗退を繰り返しながらも、頂点を掴んだ歴史を振り返ります。
青森県は9月24日、eLTAXを装ったメールやSMS、詐欺サイト等への注意喚起を発表した。
株式会社NTTドコモは9月18日、不正なアプリのインストールに関する注意喚起を発表した。
DEF CON CTF Finalsとは、世界最大級のセキュリティカンファレンス「DEF CON」で 1996 年から開催されている、世界最高峰と呼ばれるハッキング競技会（CTF）の決勝戦です。2026 年 8月、この決勝戦で、当社のエンジニアが参加する国際合同チーム Blue Water が世界1位となりました。本記事では、DEF CON CTFとはどのような大会なのか、なぜ世界最高峰と呼ばれるのか、そして日本のエンジニアたちがどう挑んできたのかを解説します。
金融庁は9月9日、インターネット取引サービスへの不正アクセス・不正取引による被害への注意喚起を発表した。
大分県臼杵市は9月9日、旧特設サイトドメインの第三者取得に関して注意喚起を発表した。
特許庁は9月8日、同庁を装った不審メールへの注意喚起を発表した。
![民間企業をサイバー作戦へ参加させる米国の新制度 ほか [Scan PREMIUM Monthly Executive Summary 2026年8月度] 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/54861.png)
政策面でも大きな動きがありました。米国政府は、審査を受けた民間企業を政府の指揮・監督下で国外のサイバー犯罪組織に対する情報収集や妨害作戦へ参加させる新たな制度を打ち出しました。民間企業はこれまで脅威情報や技術を政府へ提供する役割が中心でしたが、今後は政府が統制するサイバー作戦の実行主体として関与する領域が広がる可能性があります。
インパクトフィールド株式会社は9月1日、旧cabic株式会社を装ったウェブサイト「cabic.jp」への注意喚起を発表した。
浜銀TT証券株式会社は9月3日、同社のインターネット取引サービス「浜銀TT証券ダイレクト」での不正アクセス・不正取引の被害の発生について発表した。
警察庁は9月1日、サイバー警察局便りR8Vol.11「あなたの会社のメール、「誰でも名乗れる状態」になっていませんか？」を公開した。
警察庁は9月1日、サイバー警察局便りR8Vol.12「パスワードだけの認証はもう限界です」を公開した。
Tenable では「Project Glasswing」向けに、Anthropic 社の「Claude Mythos Preview」のテストに 500 時間以上と 400 億トークンを費やしました。結論から言えば、フロンティア AI だけでコードセキュリティプログラムを運用することはできませんが、適切に活用すれば、より強化できます。
「さとこはいつも」製作委員会は8月12日、映画「さとこはいつも」公式アカウントおよび同映画関係者を装った悪質な詐欺被害の発生について発表した。
警察庁は8月10日、サイバー警察局便りR8Vol.9「家庭にある機器が悪用されています」を公開した。
使用を許可されていないアイデンティティからツールを取り除くことは、そのアイデンティティが侵害された場合に実行され得る攻撃の選択肢をも奪うことになります。 最小権限の MCP 適用により、モデルが推論すべきトークン量と、残されたツールを使って攻撃者が与え得る被害の両方を減らすことができます。
エージェントが人間の処理能力をはるかに超えてバグを吐き出す時代に、研究者は、そして人間は何をすべきなのか。この問いに対するヤンの答えは、意外にもまったく悲観的なものではなかった。むしろヤンは「人間にとって、いまこそサイバーセキュリティに飛び込む最高のタイミングだ（ This is the best time to get into cybersecurity as a human.）」とまで言い切った。
国家サイバー統括室、外務省、警察庁、財務省、経済産業省は7月31日、米国及び韓国を始めとする同盟国・同志国の関係機関とともに「北朝鮮IT労働者に関する各国・企業等に対する注意喚起」を発表した。
![官民連携の米 AI × 脆弱性対策の国家戦略「GOLD EAGLE」ほか [Scan PREMIUM Monthly Executive Summary 2026年7月度] 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/54169.png)
先日、筆者の会社に「Top Cyber Threat Intelligence Services in APAC」にノミネートされたとの嬉しい連絡を頂きました。これも、常日頃から皆様にご支援いただいているおかげです。
一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は7月30日、Ruby on RailsのActive Storageにおけるリモートコード実行につながる脆弱性について発表した。影響を受けるシステムは以下の通り。
CVE-2026-43456の根本原因と、どのようにして権限昇格を達成したか解説します。
外務省は7月20日、在大連領事事務所関係者を装ったなりすましメールへの注意喚起を発表した。
Infoblox株式会社は7月23日、圧縮ソフト「7-Zip」を装った偽ソフトウェアの裏に潜む巨大不正プロキシ事業について発表した。
海上ヘリ基地建設反対・平和と名護市政民主化を求める協議会は7月15日、同会メールアドレスを悪用したなりすまし送信行為について発表した。
札幌国際大学は7月12日、同学の学生および教職員のフィッシングメール被害について発表した。
そして、AI エージェントやシステムを悩ますプロンプトインジェクション問題の大半と同様、この脆弱性はコードで完全に修正することはできない。AI は自然言語を理解して応答することが本来の機能であり、正当な要求と悪意ある要求を区別できない場合があるからだ。そこで Noma の研究者たちはドキュメントによる対応を GitHub に提案したが、それすらも実現しなかった。
神奈川県は7月9日、「水道局」を名乗る水道料金の滞納に関する不審メールへの注意喚起を発表した。
![自律型ペンテストプラットフォーム「Dark-Moon」ほか [Scan PREMIUM Monthly Executive Summary 2026年6月度] 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/53811.png)
先日、筆者の会社に「Top Cyber Threat Intelligence Services in APAC」にノミネートされたとの嬉しい連絡を頂きました。これも、常日頃から皆様にご支援いただいているおかげです。
公益財団法人国際文化会館は7月2日、地経学研究所スタッフを騙ったメールへの注意喚起を発表した。
Project Glasswing への参画と Claude Mythos Preview の活用を通じて、Tenable は先進的な AI モデルの挙動やサイバーセキュリティにおける進化し続けるリスクと利点、さらに AI 導入の加速に伴って必要になる統制のあり方について、顧客の理解をより一層深めることができます。
フィッシング対策協議会は6月26日、国内ISPの認証情報を不正利用して送信されたフィッシングメールについて発表した。
脆弱性を報告して CVE を取得すると会社から報奨金が出るという「CVE 報奨金制度」を整えている GMO サイバーセキュリティ byイエラエ株式会社。そこでCVEを年間数十件も取得する「猛者」たちのインタビュー後編
今回は報告プロセスでのハプニングなど、リアルな裏話をたっぷりお届け。「CVE取得は決して非日常のものではない」と語る、彼らの技術への情熱とキャリア目標とは？
一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は6月23日、Fortinet製品に関連する認証情報の漏えいについて注意喚起を発表した。
ここまで読んできて、少なくない読者が居心地の悪い思いをしていたのではないかと拝察する。それは「これってゼロトラストなの？」という疑問だ。そもそもゼロトラストとは何か。2010 年、Forrester Research 社のアナリスト、ジョン・キンダーバグが提唱したこの概念の出発点は「Trust is a vulnerability（信頼とは脆弱性である）」だった。定義に照らして、今回の HENNGE の 4 つの製品を正直に仕分けしてみる。
銀行のヘルプデスク詐欺の容疑者 6 人が、オランダ警察にアムステルダムの住居を急襲され、被害者候補との通話中に現行犯逮捕された。警察によると、容疑者は 15 歳から 30 歳で、アムステルダムの民家に設置した即席のコールセンターから活動していた。
英国National Cyber Security Center（NCSC）は現地時間6月18日、FortinetのファイアウォールおよびVPNゲートウェイを標的とした世界的な攻撃を受けての勧告を発表した。
AIエージェントの普及に伴い、複数のアプリと自律連携する際のリスクや、既存の OAuth による認可管理の分断が課題となっています。これに対し Okta は、認可管理を IdP 側に委譲して一元管理する「Cross App Access（XAA）」を提唱。企業の管理効率とセキュリティを向上させ、ユーザーの同意操作の手間も解消する次世代の安全な AI 活用基盤として、業界標準化を進めています。
株式会社コスモスイニシアは6月12日、シェアレジデンス「nears」の旧サイトへの注意喚起を発表した。
川崎重工業株式会社は6月16日、同社を装った不審メールへの注意喚起を発表した。
トレンドマイクロ株式会社は6月15日、日本の個人・組織の両方を狙うサポート詐欺キャンペーンの手口についての解説記事を発表した。岩井雄大氏が執筆している。
![筆者に届いたノミネート詐欺連絡 ほか [Scan PREMIUM Monthly Executive Summary 2026年5月度] 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/53455.jpg)
先日、筆者の会社に「Top Cyber Threat Intelligence Services in APAC」にノミネートされたとの嬉しい連絡を頂きました。これも、常日頃から皆様にご支援いただいているおかげです。
株式会社Kyashは6月4日、クレジットマスター攻撃による不正利用への注意喚起を発表した。
