2026.09.18（金）
- 注目検索ワード
大分県臼杵市は9月9日、旧特設サイトドメインの第三者取得に関して注意喚起を発表した。
特許庁は9月8日、同庁を装った不審メールへの注意喚起を発表した。
![民間企業をサイバー作戦へ参加させる米国の新制度 ほか [Scan PREMIUM Monthly Executive Summary 2026年8月度] 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/54861.png)
政策面でも大きな動きがありました。米国政府は、審査を受けた民間企業を政府の指揮・監督下で国外のサイバー犯罪組織に対する情報収集や妨害作戦へ参加させる新たな制度を打ち出しました。民間企業はこれまで脅威情報や技術を政府へ提供する役割が中心でしたが、今後は政府が統制するサイバー作戦の実行主体として関与する領域が広がる可能性があります。
インパクトフィールド株式会社は9月1日、旧cabic株式会社を装ったウェブサイト「cabic.jp」への注意喚起を発表した。
浜銀TT証券株式会社は9月3日、同社のインターネット取引サービス「浜銀TT証券ダイレクト」での不正アクセス・不正取引の被害の発生について発表した。
警察庁は9月1日、サイバー警察局便りR8Vol.11「あなたの会社のメール、「誰でも名乗れる状態」になっていませんか？」を公開した。
警察庁は9月1日、サイバー警察局便りR8Vol.12「パスワードだけの認証はもう限界です」を公開した。
Tenable では「Project Glasswing」向けに、Anthropic 社の「Claude Mythos Preview」のテストに 500 時間以上と 400 億トークンを費やしました。結論から言えば、フロンティア AI だけでコードセキュリティプログラムを運用することはできませんが、適切に活用すれば、より強化できます。
「さとこはいつも」製作委員会は8月12日、映画「さとこはいつも」公式アカウントおよび同映画関係者を装った悪質な詐欺被害の発生について発表した。
警察庁は8月10日、サイバー警察局便りR8Vol.9「家庭にある機器が悪用されています」を公開した。
使用を許可されていないアイデンティティからツールを取り除くことは、そのアイデンティティが侵害された場合に実行され得る攻撃の選択肢をも奪うことになります。 最小権限の MCP 適用により、モデルが推論すべきトークン量と、残されたツールを使って攻撃者が与え得る被害の両方を減らすことができます。
エージェントが人間の処理能力をはるかに超えてバグを吐き出す時代に、研究者は、そして人間は何をすべきなのか。この問いに対するヤンの答えは、意外にもまったく悲観的なものではなかった。むしろヤンは「人間にとって、いまこそサイバーセキュリティに飛び込む最高のタイミングだ（ This is the best time to get into cybersecurity as a human.）」とまで言い切った。
国家サイバー統括室、外務省、警察庁、財務省、経済産業省は7月31日、米国及び韓国を始めとする同盟国・同志国の関係機関とともに「北朝鮮IT労働者に関する各国・企業等に対する注意喚起」を発表した。
![官民連携の米 AI × 脆弱性対策の国家戦略「GOLD EAGLE」ほか [Scan PREMIUM Monthly Executive Summary 2026年7月度] 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/54169.png)
先日、筆者の会社に「Top Cyber Threat Intelligence Services in APAC」にノミネートされたとの嬉しい連絡を頂きました。これも、常日頃から皆様にご支援いただいているおかげです。
一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は7月30日、Ruby on RailsのActive Storageにおけるリモートコード実行につながる脆弱性について発表した。影響を受けるシステムは以下の通り。
CVE-2026-43456の根本原因と、どのようにして権限昇格を達成したか解説します。
外務省は7月20日、在大連領事事務所関係者を装ったなりすましメールへの注意喚起を発表した。
Infoblox株式会社は7月23日、圧縮ソフト「7-Zip」を装った偽ソフトウェアの裏に潜む巨大不正プロキシ事業について発表した。
海上ヘリ基地建設反対・平和と名護市政民主化を求める協議会は7月15日、同会メールアドレスを悪用したなりすまし送信行為について発表した。
札幌国際大学は7月12日、同学の学生および教職員のフィッシングメール被害について発表した。
そして、AI エージェントやシステムを悩ますプロンプトインジェクション問題の大半と同様、この脆弱性はコードで完全に修正することはできない。AI は自然言語を理解して応答することが本来の機能であり、正当な要求と悪意ある要求を区別できない場合があるからだ。そこで Noma の研究者たちはドキュメントによる対応を GitHub に提案したが、それすらも実現しなかった。
神奈川県は7月9日、「水道局」を名乗る水道料金の滞納に関する不審メールへの注意喚起を発表した。
![自律型ペンテストプラットフォーム「Dark-Moon」ほか [Scan PREMIUM Monthly Executive Summary 2026年6月度] 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/53811.png)
先日、筆者の会社に「Top Cyber Threat Intelligence Services in APAC」にノミネートされたとの嬉しい連絡を頂きました。これも、常日頃から皆様にご支援いただいているおかげです。
公益財団法人国際文化会館は7月2日、地経学研究所スタッフを騙ったメールへの注意喚起を発表した。
Project Glasswing への参画と Claude Mythos Preview の活用を通じて、Tenable は先進的な AI モデルの挙動やサイバーセキュリティにおける進化し続けるリスクと利点、さらに AI 導入の加速に伴って必要になる統制のあり方について、顧客の理解をより一層深めることができます。
フィッシング対策協議会は6月26日、国内ISPの認証情報を不正利用して送信されたフィッシングメールについて発表した。
脆弱性を報告して CVE を取得すると会社から報奨金が出るという「CVE 報奨金制度」を整えている GMO サイバーセキュリティ byイエラエ株式会社。そこでCVEを年間数十件も取得する「猛者」たちのインタビュー後編
今回は報告プロセスでのハプニングなど、リアルな裏話をたっぷりお届け。「CVE取得は決して非日常のものではない」と語る、彼らの技術への情熱とキャリア目標とは？
一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は6月23日、Fortinet製品に関連する認証情報の漏えいについて注意喚起を発表した。
ここまで読んできて、少なくない読者が居心地の悪い思いをしていたのではないかと拝察する。それは「これってゼロトラストなの？」という疑問だ。そもそもゼロトラストとは何か。2010 年、Forrester Research 社のアナリスト、ジョン・キンダーバグが提唱したこの概念の出発点は「Trust is a vulnerability（信頼とは脆弱性である）」だった。定義に照らして、今回の HENNGE の 4 つの製品を正直に仕分けしてみる。
銀行のヘルプデスク詐欺の容疑者 6 人が、オランダ警察にアムステルダムの住居を急襲され、被害者候補との通話中に現行犯逮捕された。警察によると、容疑者は 15 歳から 30 歳で、アムステルダムの民家に設置した即席のコールセンターから活動していた。
英国National Cyber Security Center（NCSC）は現地時間6月18日、FortinetのファイアウォールおよびVPNゲートウェイを標的とした世界的な攻撃を受けての勧告を発表した。
AIエージェントの普及に伴い、複数のアプリと自律連携する際のリスクや、既存の OAuth による認可管理の分断が課題となっています。これに対し Okta は、認可管理を IdP 側に委譲して一元管理する「Cross App Access（XAA）」を提唱。企業の管理効率とセキュリティを向上させ、ユーザーの同意操作の手間も解消する次世代の安全な AI 活用基盤として、業界標準化を進めています。
株式会社コスモスイニシアは6月12日、シェアレジデンス「nears」の旧サイトへの注意喚起を発表した。
川崎重工業株式会社は6月16日、同社を装った不審メールへの注意喚起を発表した。
トレンドマイクロ株式会社は6月15日、日本の個人・組織の両方を狙うサポート詐欺キャンペーンの手口についての解説記事を発表した。岩井雄大氏が執筆している。
![筆者に届いたノミネート詐欺連絡 ほか [Scan PREMIUM Monthly Executive Summary 2026年5月度] 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/53455.jpg)
先日、筆者の会社に「Top Cyber Threat Intelligence Services in APAC」にノミネートされたとの嬉しい連絡を頂きました。これも、常日頃から皆様にご支援いただいているおかげです。
株式会社Kyashは6月4日、クレジットマスター攻撃による不正利用への注意喚起を発表した。
AIエージェントに「王国の鍵（重要な権限）」が渡されようとしています。私たちの調査によると、彼らが常にその鍵を安全に保持できるとは限らないことが示されています。
株式会社グリーンホスピタリティーマネジメントは5月21日、Booking.com経由でホテルグランバッハ京都セレクトを予約した顧客へのフィッシングサイト誘導メッセージについて、注意喚起を発表した。
株式会社相鉄ホテルマネジメントは5月21日、Booking.com経由でホテルサンルート浅草を予約した顧客への不審なメッセージの送信について、注意喚起を発表した。
東京都産業労働局が公開している「中小企業向けサイバーセキュリティ対策の極意」ポータルサイトの旧ドメイン（cybersecurity-tokyo[.]jp）が放棄され、第三者が取得している。tss(夜行性昼行燈)（@tss_0101）氏がX（旧Twitter）で発見している。
株式会社エニグモは5月26日、同社が運営する買い物代行サービス「BUYMA」の商品問い合わせ欄での不審なQRコード・PDF・URL投稿に関する注意喚起を発表した。
宮崎県は5月22日、同県が廃止したドメインの第三者による再取得について発表した。
脆弱性を報告して CVE を取得すると会社から報奨金が出るという「CVE 報奨金制度」を整えている GMO サイバーセキュリティ byイエラエ株式会社。そこで年間数十件の CVE を取得している猛者たちに、脆弱性調査を始めたきっかけ、調査にあたってのモチベーションやアプローチ方法、今までに報告した印象深い脆弱性についてインタビューしました。
SaaS は自らの意思で設定を変更しないが AI エージェントは自律的に振る舞いを変える。今日と明日で成果物が変わる。昨日まで安全だった状態が、今日も安全である保証はない。「自律的に振る舞う管理対象」という事実が従来のセキュリティの前提を覆している。
![イスラエルの水インフラを標的にした未完成のマルウェア ほか [Scan PREMIUM Monthly Executive Summary 2026年4月度] 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/52967.jpg)
3 月の動向をまとめますと、国家アクターは「止めるべきもの」をよく理解している、ということを再認識させられた月と言えそうです。通信を握れば社会を揺さぶれます。認証を破れば組織を乗っ取れます。AI の判断をだませば、人間の意思決定を曲げられます。
株式会社メディカ出版は5月1日、同社を装った不審メールへの注意喚起を発表した。
経済産業省は4月27日、サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）に係る不適切な勧誘への注意喚起を発表した。
埼玉県入間市は4月27日、入間市長になりすましたLINEアカウントやメール等への注意喚起を発表した。
東海大学は4月23日、同学と無関係なウェブサイトへの注意喚起を発表した。
ShieldGuardは、ブラウザ拡張機能を通じて、フィッシングや悪質なスマートコントラクトといった仮想通貨ウォレットに対する既知の脅威をブロックする機能を備えたブロックチェーンプロジェクトであると称していました。しかし拡張機能を分析したところ、その真の意図が明らかになりました。ShieldGuardは、主要な仮想通貨プラットフォームや、Googleサービスのユーザーから、ウォレットアドレスやその他の機密データを収集するように設計されていることが判明しました。
LINEヤフー株式会社は4月14日、なりすましメールにブランドアイコンが表示されているものがある事象について、注意喚起を発表した。
一般財団法人日本情報経済社会推進協会（JIPDEC）は4月14日、アクセス権限の設定不備による個人情報の誤公開について、注意喚起を発表した。
![サイバー攻撃は「通信・認証・AI 」基盤へ ／ AI エージェントトラップ ほか [Scan PREMIUM Monthly Executive Summary 2026年3月度] 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/52568.png)
3 月の動向をまとめますと、国家アクターは「止めるべきもの」をよく理解している、ということを再認識させられた月と言えそうです。通信を握れば社会を揺さぶれます。認証を破れば組織を乗っ取れます。AI の判断をだませば、人間の意思決定を曲げられます。
愛知県名古屋市は3月30日、同市が廃止したドメイン名の第三者による取得について発表した。
一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は3月30日、F5 BIG-IP Access Policy Managerの脆弱性（CVE-2025-53521）に関する注意喚起を発表した。影響を受けるシステムは以下の通り。
警視庁は3月23日、匿名・流動型犯罪グループの最新の手口について発表した。
ロート製薬株式会社は3月24日、旧DRXブランドサイトURLが不正サイトへ転送される事象について発表した。
子育てエコホーム支援事業事務局は3月23日、「子育てエコホーム支援事業」のサーバへの不正アクセスについて発表した。
愛媛県南予地方局は3月10日、旧「予土まちサイクルデジタルスタンプラリー」ウェブサイトのドメイン悪用について発表した。
防衛省は2月13日、防衛省職員や機関を装った不審な電話・メールへの注意喚起を発表した。
渡辺氏は製品企画にあたり、約 60 社の顧客にヒアリングを実施した。そこで見えてきたのは、EDR の必要性とは別の課題だった。EDR を導入したものの管理運用ができず上層部を説得できないまま解約したケースがあったし、また「自分たちはもっと手前のレベルかもしれない」という声も聞かれたという。
株式会社kubellは3月10日、同社のクラウド型チャットサービス「Chatwork」を装ったフィッシングサイトへの注意喚起を発表した。
