2025.12.06（土）
- 注目検索ワード
Protonは、Data Breach Observatory をほぼリアルタイムで更新し、ダークウェブ上で発見した攻撃について、もし同サービスがなかったら明るみに出なかった侵害を公表することを目指している。この新サービスは、透明性を高めるべき時に口を閉ざしている組織を非難するためだけに立ち上げられたわけではない。Proton は Observatory が、データ侵害に最も脆弱である中小企業が危険性をより認識し、それによって間接的にセキュリティ強化につながると考えている。
2025 年 9 月に、K7 Ultimate Security のカーネルドライバーにて、任意のプロセスの停止が可能となる脆弱性の情報が公開されています。
10 月に最も件数換算の被害規模が大きかったのは、スターバックスコーヒージャパン株式会社とBlue Yonder社による「新たに約 40,700 名分の従業員 ID 漏えいが判明 ～ スターバックスが利用するシフト作成ツールへ不正アクセス」の約 72,200 名だった。
米国の 2 つのサイバーセキュリティ企業に勤務していた、それぞれランサムウェア交渉人とインシデント対応マネージャーが、複数の米国企業に対して自らランサムウェア攻撃を仕掛けていたという疑いで起訴された。
決済サービスプロバイダーの Checkout.com は、先週恐喝被害に遭った後、支払い要求に応じる代わりに、要求額と同じ額をサイバー犯罪研究の資金として寄付することに決定した。そして恐喝犯の要求を拒否することよりもさらに異例なことが起こった。最高技術責任者（CTO）のマリアーノ・アルベラ氏は、侵害を許した状況について謝罪するとともに、今回のセキュリティインシデントの発生について同社が「全責任を負う」と表明した。
2025 年 8 月に、Windows 版の Docker Desktop にてコンテナからホスト OS の侵害が可能となる脆弱性が報告されています。
石橋氏のセミナーでは、冒頭に陰性・陽性判定（True Positve / False Positive）に関する興味深い話がなされた。対象とするソフトウェアやイベントがマルウェア・攻撃であるかどうかは、単純に二値判定で単純なようだが、これが簡単ではないことはすでに述べた。わかりやすい例でいえば、バックアップファイルの削除、ログの削除など。これらの実行は悪意のある場合が考えられるが、管理者による通常処理でも発生し得る。コマンド実行や通信だけで、背後に悪意があるかどうかの判定は極めて難しい。
![自律的偵察や環境適応も 攻撃の質を一変させるエージェント型 AI ほか [Scan PREMIUM Monthly Executive Summary 2025年10月度] 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/50719.jpg)
AI を活用したサイバー脅威について、米シンクタンク「American Security Project（ASP）」は、報告書「Cloud of War」で、国家支援型サイバー攻撃に AI が急速に採用され、米国の重要インフラを脅かしていると警鐘を鳴らしています。エージェント型 AI は自律的な偵察や環境適応を可能にし、攻撃の質を一変させつつあるとし、ASP は AI 防御システムの導入やクラウドの法的保護強化などを提言しています。
木曜日の発表でイングランド銀行（ BoE ）は、金利を 4 ％に据え置きつつ、英国の実質 GDP は第 3 四半期（ 7 ～ 9 月）は 0.2 ％成長であるとの見通しを示した。これは 8 月の第 2 四半期レポートで予測された 0.3 ％からわずかに低下している。BoE はこの成長鈍化の理由として「対米輸出の減少」と「政府が財政支援を提供せざるを得なくなるほど深刻な被害をもたらしたジャガー・ランドローバーへのサイバー攻撃」の 2 点を挙げている。
「インターネット上に晒された 4 TB の SQL バックアップを発見するということは、『ご自由にお持ちください』という張り紙付きで、金庫の設計図と鍵がそこに置かれているのを見つけるようなものだ。侵入に必要な情報が全て揃っている」と同社は述べている。
同社研究員は慎重にファイルの最初の 1,000 バイトのみをダウンロードして検証し、ファイルが暗号化されておらず、データが平文のまま保存されている（誰でも読める状態で放置されていた）ことも発見した。
過去にこうした障害等の事態を経験してきた AWS のシニアエンジニアたちは、どこへ行ってしまったのだろう？ その答は、彼らが会社を去ってしまったということだ ―― それも AWS のシステムが大規模に動作する仕組みについて何十年もかけて苦労して獲得した組織的知識を丸ごと持って。
ありふれたメール誤送信だが静岡県の再発防止策はひと味違っていた。委託先事業者に対し「緊急の連絡事項が生じた場合であっても、複数人で対応できない時間外等にはメール送信を行わないことを徹底」したとのことだ。ダブルチェックにかける安全神話的なものを感じる。これでチェック漏れがなくなるという保証など何もないからだ。
2025 年 5 月に修正された、Wing FTP Server にて遠隔からの任意のコード実行が可能となる脆弱性を悪用するエクスプロイトコードが公開されています。
このように考えると、いますぐにでも起きそうなインシデントは、じつは、EV（電気自動車）の充電器に関するサイバー攻撃（脆弱性攻撃）ではないかと予想できる。EV の充電器にはカードリーダー、RFID、Wi-Fi、Bluetooth といった通信機能があることが多い。充電の課金処理も可能になっている。スマートフォンと連携する製品もあるので、攻撃者にとってはアタックサーフェスのひとつとなる。
長年にわたり、中国とロシアのサイバー攻撃者は互いの衝突をおおむね避けてきた。しかし、今回の侵害は、中国の APT オペレーターが諜報活動のために、ロシアのインフラストラクチャ、または少なくともそのサプライチェーンを探査する意思を持つようになったことを示唆している。
2025 年 6 月に、Roundcube にて遠隔からの任意のコード実行が可能となる脆弱性を悪用するエクスプロイトコードが公開されています。
ここでちょっと遊び心で、1 テラワット（TW）の電力を生成するのに必要な太陽光発電所の規模を概算してみた。現在の太陽光発電の能力では、経験則として 1 MW を供給するのに 5 エーカーのソーラーパネルが必要だ。つまり、1 TW、つまり 100 万 MW には 500 万エーカー、すなわち 7,812 平方マイル（編集部註：20,233 平方キロメートル、東京都の約 10 倍の面積）が必要となる。これは規模的に実現不可能だ。
もっとわかりやすくいえば、犯罪者の保有するインフラやシステムに対してハッキングを行い、コマンドを実行したりデータを盗んだりのいやがらせ（ハラスメント）の限りを尽くして、それを国際的に注目度の高いカンファレンスで堂々講演したということだ。もはや本誌的には快男児としか呼びようがない。なかなかロックな研究者といえる。
![チェコ国家サイバー情報安全庁、中国製太陽光インバーターに対して警告 ほか [Scan PREMIUM Monthly Executive Summary 2025年9月度] 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/50279.jpg)
重要インフラ関連システムの遠隔運用やデータ転送といったインフラ制御権を海外事業者に委ねることのリスクについては各国で警鐘が鳴らされています。チェコ国家サイバー情報安全庁（NÚKIB）は、チェコ国内の小規模太陽光発電所で使用される太陽光インバーターの95 ～ 99 ％が中国製であることを指定し、このことが安全保障上の脅威となり得ると警告しています。同警告は、単なる注意喚起ではなく中国の法的環境と過去のサイバー攻撃事例を根拠とした脅威の公式認定として位置付けられるものです。
CMC は、英国の政府機関である国家サイバーセキュリティセンター（NCSC）の元創設 CEO であるキアラン・マーティン氏が議長を務め、サイバーセキュリティ専門家と金融専門家で構成されている。CMC 設立の目的は、「システミック・サイバー・イベント」の定義にまつわる曖昧さを解消することだった。特に重要なのは、サイバー保険会社が再保険契約を請求できる基準を明確にすることだ。
攻撃者が簡単には変えられないものがたった一つだけある。それは攻撃者自身の肉体、攻撃者の身体性、もっといえば脳髄とそれが持つ思考パターンである。末端のオペレーターは別として、指揮命令を行ったり、高度で繊細な作業を実施する者はその実績などによって評価され、プロフェッショナルとして価値を認められ、同一または類似業務に継続して従事する可能性が高い。
