2026.03.28（土）
- 注目検索ワード
「攻撃者がサプライチェーン攻撃を好み、それを産業化したのは、サプライチェーンへの攻撃がスケールメリットを生み、被害拡大の速度も速く、なおかつ正規の経路を使うためにバレにくいからだ。上流での単一の侵害が、今やその産業全体に波及する可能性すらある。ことがここに至ったからには、防御側はもはや『孤立した自社システムを守れば良い』などという時代遅れの考えは今日限り捨て去って、取引先、従業員の ID、外部サービスとの連携、それらすべてを『信用できないもの』として扱い始める必要がある。すべてが侵入経路なのだから」
手口としては、当該従事者が退任後の 2024 年 10 月以降に、不正取得したシステムID・パスワードを使用して鈴谷公民館多目的ホールの抽選予約に申込み、当選後に予約を取り消して空きとなったところを速やかに自らの団体で予約するという鮮やかかつ泥臭い手法で 2025 年 4 月から 2026 年 1 月利用分まで計 15 件の予約をしていたとのことだ。
ランサムウェア集団が 2025 年に稼いだ金額は約 8 億 2,000 万ドル（約 1,230 億円）で、前年比で約 8 ％減少した。身代金を支払った被害者の割合に至っては過去最低の 28 ％まで落ち込んだ。
この減少だけを見ればランサムウェア対策の前進のように聞こえるかもしれないが、ひとたび全体像に目を転じると希望の光など微塵も見えない。
2025 年 8 月に公開された Microsoft Web Deploy 4.0 の脆弱性を悪用するエクスプロイトコードが公開されています。
しかし求人情報にはこんなトホホな条件が書かれている。「この予算は確約ではありません。したがって当局はどれだけ仕事があるか、いくら払うかを保証できません」提示された金額から考えると、採用される C++ プログラマーは勤務時間のごく一部だけをこの仕事に充てることになりそうだ。つまり、せいぜい副業程度の扱いということだ。
![ポーランド軍施設に中国製車両立入禁止／ドイツ鉄道 DDoS 攻撃で障害 ほか [Scan PREMIUM Monthly Executive Summary 2026年2月度] 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/52196.jpg)
2 月には中国人民解放軍が、南シナ海の南沙諸島で中国が実効支配する永暑礁（ファイアリー・クロス礁）にサイバー空間部隊が駐屯していることを初めて公にしました。この海域には多くの海底ケーブルが通っています。そう考えると、情報封鎖戦は決して遠い話ではなく、日本にとっても現実的に警戒すべき戦術だと言えます。
トランプ大統領は記者会見で以前、次のように鼻高々で自慢していた。「ベネズエラ侵攻の夜、首都カラカスは真っ暗な闇に包まれた。我々の特別な専門技術（編集部註：サイバー攻撃による停電を示唆）で街の電気を消したからだ。暗闇の中でアメリカ軍は敵に致命的な一撃を与えた」と。
口の軽い大統領が自己の虚栄心を満たすために軍事機密をベラベラ喋ってしまったものだから、ペンタゴンも最早観念して「はいはい、うちのハッカーも頑張りました」と最初から白状するようになったのかもしれない。
2025 年 11 月末に公開された React の脆弱性を悪用するエクスプロイトコードが公開されています。
我々の超高齢化したセキュリティ文字列（パスワード）をここで擁護しておくと、いま挙げた問題はいずれもパスワード固有のものではない。きちんと仕様が定められ実装されたパスワードシステムを、きちんと教育されまっとうな動機を持つちゃんとした人々が使用すれば、誰もがうらやむほどパスワードは安全だ。問題が何なのか、もう読者諸氏はお分かりだろう。そんな理想的な条件が現実世界で揃うわけがないのだ。
2025 年 11 月に公開された Windows OS の脆弱性を悪用するエクスプロイトコードが公開されています。
1 月に最も件数換算の被害規模が大きかったのは、株式会社バンダイナムコフィルムワークスによる「バンダイチャンネルへの不正アクセス、最大 136.6 万件の会員情報漏えいの可能性」の最大 136.6 万 件だった。新年早々の 100 万件超えで、情報漏えい界隈は幸先の良いスタートを切ることができたと言えるだろう。
サイバーセキュリティカンファレンス「DEF CON」は、いわゆる“エプスタイン・ファイル”に名が挙がっている 3 名について、将来の全てのイベントへの参加を禁じる追放者リストに追加した。なお、この 3 名は誰一人として刑事責任を問われているわけではない。DEF CON は「追放者リストには多くの個人が含まれるが、その多くは公表されない」としており、2017 年以降、昨年まで公式 Web サイトで公表された追放者はこれまで 6 名のみだった。繰り返しになるが、3 名全員、犯罪への関与は指摘されていない。
ある職員と AI との会話記録として提出された内容を見ると、職員からの質問は、無実を主張するものではなく、法的な抜け穴を探すことに血道を上げていた。ある会話で鉄道員はこう尋ねたとされる。「被害者が賠償を求めていない場合、誰が財務的損害を立証するのか？」「財務的損失が証明できない場合、予約システムで座席をブロックする行為はそもそも損害に当たるのか？」と ChatGPT に問いかけていた。
これらのやり取りからは、捜査が迫る中で、汚職の嫌疑をかけられた職員たちの焦燥が行間からにじみ出ている。
国防省によれば、このデジタル装備一式により、部隊は「周囲の状況と情報に関する正確な情報を受け取ることができ、誰が敵で誰が味方かをより明確に判別できるようになる」という。この装備は、国防省のプロジェクト ASGARD（北欧神話の神々の国アスガルドから命名された英国陸軍の AI 統合戦闘支援システムプロジェクト）の一環として、すでにエストニアで実戦条件下で試験運用されている。
![クラウドファーストのLinuxマルウェアフレームワーク VoidLink ほか [Scan PREMIUM Monthly Executive Summary 2026年1月度] 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/51839.png)
1 月の脅威動向でもう一つ押さえるべきは、エンドポイント中心の侵入ではなく、クラウド基盤そのもの（ Linux、コンテナ、Kubernetes ）を長期支配するためのマルウェアフレームワーク「 VoidLink 」が報告された点です。チェック・ポイント・リサーチは「クラウドファーストの Linux マルウェア・フレームワーク」と位置づけ、ローダー、インプラント、ルートキット、30 超のプラグインから構成される高いモジュール性を報告しています。
ランサムウェア交渉を専門とする Coveware 社が Nitrogen のランサムウェアプログラムを詳細に分析したところ、プログラミングミスのせいで、この犯罪グループが提供する復号ツールでは暗号化された被害者のファイルをまったく復旧できないことが判明した。
「我々は AI エージェントをチームメンバーの延長線上、つまり拡張された従業員基盤として認識し、その対応を考える必要がある」と、ダボスのパネルで発言した Cloudflare 共同創業者兼社長のミシェル・ザトリン氏は述べた。「組織は従業員に対してゼロトラストを採用している。同じことがエージェントに対しても起こるだろう」
2025 年 10 月に公開された Apache Tomcat の脆弱性を悪用する手順が公開されています。
筆者は情報漏えいのリリースを毎日探しており、見つけたら記事を書き、その数通算で年間 800 本近いという記者生活を続けている。計算したら一日の稼働時間を 8 時間と換算すると 3 時間 19 分に一本情報漏えいの記事を執筆していることになる。このように情報漏えいについて 24 時間 365 日体制で思いを巡らせていながらも、自分自身が漏えいの被害者になった経験が決して豊かとはいえない点がコンプレックスであり、自虐的に自身を「情報漏えい陸（おか）サーファー」と呼んでいた。しかし、しかしである。
法律上はロシアでもサイバー犯罪は違法となっている。しかし、大きな商業的成功をおさめているサイバー犯罪グループや、サイバー犯罪者の多くがロシア国内に居住しているのも事実だ。一般的なルールは「ロシア人を標的にしない限り、地元警察は手を出さない」というものだ。
2025 年 10 月に公開された Linux カーネルの脆弱性を悪用するエクスプロイトコードが公開されています。
