2026.10.06（火）
- 注目検索ワード
攻撃者が簡単には変えられないものがたった一つだけある。それは攻撃者自身の肉体、攻撃者の身体性、もっといえば脳髄とそれが持つ思考パターンである。末端のオペレーターは別として、指揮命令を行ったり、高度で繊細な作業を実施する者はその実績などによって評価され、プロフェッショナルとして価値を認められ、同一または類似業務に継続して従事する可能性が高い。
2025 年 7 月に、Windows OS にて管理者権限の奪取が可能となる脆弱性が報告されています。
ルクセンブルクとブリュッセルを拠点とする消費者権利団体 Euroconsumers は書簡を送り、デジタル市場法やデジタルコンテンツ指令に沿っていないと主張した。これを受けて、Microsoft は方針を再考したようだ。最新の書簡で、Euroconsumers の訴訟責任者マルコ・シアルドーネは述べている。「Microsoft が欧州経済領域（EEA）の Windows 10 コンシューマーユーザーに無料の延長セキュリティ更新プログラム（ESU）オプションを提供することを知り、嬉しく思います」
投稿によると「数年前、Slack が私たちを無料の非営利プランから年額 5,000 ドルの契約に移行させたとき、私たちは喜んで支払いました。それは妥当な金額だし、私たちは Slack がコミュニティに提供するサービスを評価していました。しかし、2 日前に Slack から連絡があり、今週中に追加で 5 万ドル、そして年間 20 万ドルの支払いに同意しなければ、私たちの Slack ワークスペースを無効化し、すべてのメッセージ履歴を削除すると言われました」とカラム氏は書いている。
2 件目はジブラルタ生命保険株式会社の奈良支社に所属していた元営業社員が、在籍時に担当していた顧客情報を持ち出した疑いが判明したというものだ。この元営業社員は、持ち出した顧客情報を金銭貸借の担保として無登録の金融業者に提供した疑いもあるとのこと。
一方で識者たちは、あらゆる面で財政難に直面し、巨額の債務を抱える英国政府は、すでにコモディティ化が進んでいるフリーソフトウェアやオープンソースソフトウェア（FOSS）といった代替手段を検討すべきだと主張している。
2025 年 7 月に、Linux OS に標準実装されているコマンドである sudo に存在する root 権限の奪取が可能となる脆弱性に対するエクスプロイトコードが公開されています。
![ダムの水 毎秒約500リットル 4時間放流 総量約720万リットル ほか [Scan PREMIUM Monthly Executive Summary 2025年8月度] 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/49913.webp)
ノルウェー国家公安警察が 2024 年 4 月 7 日に西部ヴェストラン県ブレマンゲルのダムで発生した異常放流が、親ロシア系のハクティビストによる攻撃が原因であったことを公表しました。攻撃経路としては、Web 経由による制御パネルへの不正侵入であり、当該ハクティビストは、2024 年 6 月に日本政府がウクライナへの支援事業を継続するとの発表を受け、複数の日本組織に対して攻撃を実施しています。
爆弾処理班の隊員たちは、一つの爆発物を無効化するたびに長期休暇を取るらしい。
この攻撃では、政府、医療、救急サービス、宗教関連といった 17 の組織が、Claude Code によって仕組まれた自動偵察、認証情報収集、ネットワーク侵入の被害を受けた。Claude Code は、この攻撃の全段階で利活用された。攻撃者は、望まれる戦術を概説した「CLAUDE.mdファイル」をモデルに提供し、Claude Code は自動偵察、標的の発見とその攻略、マルウェア作成を実行した。
当該脆弱性の悪用に攻撃者が WebDAV を用いたため、公開されているいくつかの記事では WebDAV の部分が強調されており、あたかも WebDAV に関連する脆弱性かのように書かれているものがあります。しかし、脆弱性の本質は遠隔のサーバに配置されている EXE や DLL などのファイルを実行してしまう点であり、WebDAV の代わりに SMB を用いても脆弱性は悪用できます。
PromptLock の感染事例はまだ確認されていないものの、今回の発見は、AI がサイバー犯罪者の攻撃プロセスをはるかに容易にしていることを示すものであり、防御側は警告と受け止めるべきだろう。ESET の 2 人の研究者は、VirusTotal にアップロードされた Windows 版と Linux 版の両方の亜種を特定したと述べている。
1 件目は、奈良市 道路維持課 主務の技術職員（35歳）が、少なくとも計 31 回にわたって人事課などの職員になりすまし、人事データやメールのやり取りなどを閲覧する不正アクセス行為を行ったことへの処分だ。本連載でも何度もくり返し取り上げているが、やはり同僚の人事情報というのは、停職処分を喰らってでも覗きたい抗いがたい魅力があるものなのだろう。
Active Directory への攻撃防止を専門とする Semperis でインシデント対応部門を率いるウィックマン氏は、以前、プロのランサムウェア交渉人として仕事をしていた。そして、データをロックするマルウェアに感染した企業の幹部に脅迫者が電話をかけてくるのを目撃していた。「それは家族に対する脅迫でした。家族のインターネットの閲覧履歴や、自宅での行動などに関するものでした」とウィックマン氏は語る。「攻撃者は幹部の住居、幹部の家族の居場所、そして幹部の子供たちが通う学校を知っています」
ミッコ・ヒッポネンは1991年、21歳の学生時代にプログラマーとしてヘルシンキのスタートアップに入社する。すぐにウイルスのリバースエンジニアリングの仕事を割り当てられたそうだ。当時のウイルスはフロッピーディスクでばらまかれていた時代だ。彼は業務で世界中のウイルスを採取した。その数は150に及ぶ。1枚ずつフロッピーディスクに保存し、個別に解析を行ったという。
2025 年 6 月に、Microsoft Windows における管理者権限での遠隔からの任意のコード実行につながる脆弱性の情報が公開されています。デフォルトの設定では、ドメインコントローラを除き、Active Directory ドメインに参加しているすべての端末への侵入が可能となる脆弱性であるため、間接的にドメインコントローラの制圧が可能となる可能性が高い脆弱性で、Active Directory 史上最も注目度が高い脆弱性と言えます。
CVE に関連して CVSS（Common Vulnerability Scoring System）という危険度を表す指標が存在する。評価基準の見直しなども行われており（現在はバージョン4まで公開）、多くの企業や組織にとって、対応の自動化や対応の判定基準として役立っている。注意点として、CVSS のスコア（危険度）は攻撃を受けた場合の影響度（インパクト）を示すもので、攻撃のしやすさ、発生頻度についての指標は含まれていない点が挙げられる。
![港湾インフラサイバー脅威対策をNATO公表 ほか [Scan PREMIUM Monthly Executive Summary 2025年7月度] 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/49549.png)
NATO の CCDCOE が発表した報告書によると、世界貿易の約 8 割を担う主要な海上港湾インフラでは、ロシアやイラン、中国など APT グループやランサムウェアを悪用するサイバー犯罪集団、ハクティビストによる DDoS といった多様なサイバー脅威が確認されているといいます。こうした攻撃は、従来は独立していたアクセス制御システムや船舶交通管理システムといった運用技術（OT）が IT ネットワークと接続されたことで、古い制御機器にも深刻な脆弱性を生じさせたことが背景にあると指摘しています。
これまで ScanNetSecurity は、巷（ちまた）で大声で喧伝される「いわゆる AI のセキュリティへの影響」に対して、一部を除いておおむね半笑いで接してきましたが、その編集方針を変えるかもしれない取材になりました。Black Hat 全体で AI エージェント技術が「コンセプトから実運用へスケールする段階」にあり、本稿ではその具体例を示すいくつかのセッションを紹介します。
The Com は、主に英語圏の犯罪者で構成され、ゆるく結びついた集団であり、メンバーは世界中にいる。メンバーの多くは未成年で、主にティーンエイジャーの男子である。サブセットである IRL Com のメンバーは、「通常、共通の興味、イデオロギー、または目標を持ち、協力している。ミッションを達成するため、必要に応じて他者をグループに加えたり分裂したりする」と FBI は指摘する。
はじめに、攻撃者の組織構造を調査研究することが重要です。サイバー犯罪は高度に組織化されており、コミュニティが組織に変貌した際に持つ「役割・役職」「タスク」「規模」などがレジリエンスの要素です。リレーションシップは組織の行動パターンを特徴づけ、犯罪者グループの行動を予測し、防御に役立てる手がかりとなるため、メンバー間の関係性の研究が必要です。
コンテナアプリケーションを管理するソフトウェアとして世界的に利用されている Kubernetes が公式にサポートしている管理用ソフトウェアである Ingress NGINX Controller にて、遠隔からの任意のコード実行につながる脆弱性が報告されています。
コープ・グループの最高経営責任者（CEO）は、650万 人にのぼる組合員全員分のデータが 4 月のサイバー攻撃で盗まれたことを確認した。このデジタル窃盗の背後にはスキャッタードスパイダーがいるとみられている。
6 月に最も件数換算の被害規模が大きかったのは、損害保険ジャパン株式会社による「損害保険ジャパンへの不正アクセス、顧客や代理店のデータが漏えいした可能性を否定できず」の 約 9,040,000 件 だった。日本の首都である東京23区の人口 973 万人に迫り、あと少しで大台の 1,000 万人に手が届きそうな、まさに日本一と言っても過言ではない立派な数字である。
The Global Initiative Against Transnational Organized Crime は、近年著しく悪化している重大組織犯罪の問題に関して、英国の順位を低く評価している。2023 年時点で英国は、米国、ドイツ、オランダ、カナダ、オーストラリア、日本、シンガポールなどの他の先進国よりも低く評価されている。2021 年以降、英国の順位は 38 位下落しており、これは他の国と比べはるかに急激な下落となっている。
Iceland の CEO であるリチャード・ウォーカー氏は、この技術は「罪のない顧客を監視するものでもなく、またデータを保存するものでもない。訓練を受けた店舗チームが、暴力行為や脅迫を行うことが多いとされる常習的な人物を冷静に特定するのに役立つためのもの」と述べている。
![最小コストで西側電力網を大停電に導く攻撃手法研究 ほか [Scan PREMIUM Monthly Executive Summary 2025年6月度] 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/49161.jpg)
チェコ工科大学の Erika Langerová 氏が LinkedIn 上に投稿した調査報告が注目されます。当該調査では、公開された中国の学術論文を対象に大規模な調査を行い、西側（米欧）の電力網を大規模停電に導く最小コスト攻撃手法のシミュレーション研究が数百件に及ぶことを明らかにしています。これらの研究は純粋な学術目的を超え、Volt Typhoon や Salt Typhoon などによる現実の中国のサイバー攻撃から判明している点を組み合わせると、より事態は深刻になると指摘しています。
ランサムウェア攻撃において、「企業のサイバー攻撃被害について詳しい法律事務所のエキスパート」や 「企業側はランサムウェア攻撃の公表についてどんな意思決定を行っているのだろうか」 という点が特に重要です。これは情報システム部門でサイバーセキュリティ管理を担う者にとって、脅迫的な攻撃に直面した際の対策や公表の際の判断材料として、また情報の透明性を確保するために重要です。
CMC は、英国の政府機関である国家サイバーセキュリティセンター（NCSC）の元創設 CEO であるキアラン・マーティン氏が議長を務め、サイバーセキュリティ専門家と金融専門家で構成されている。CMC 設立の目的は、「システミック・サイバー・イベント」の定義にまつわる曖昧さを解消することだった。特に重要なのは、サイバー保険会社が再保険契約を請求できる基準を明確にすることだ。
子供や無知な人間を騙すことは許される行為ではない。だが詐欺師や犯罪者にとってそれはむしろ正攻法であり目的達成のための正義かもしれない。恐ろしいことに、それは企業にも当てはまることがある。
今回は、内部不正の最大の要因「動機」について解説します。いかに内部不正が人類の歴史と共にあり続けたか、古からのキリスト教の7つの大罪をもとに分析する分かりやすい。人の欲望というのは、科学や文明が発達しても変わらないもんだ。中編で解説した不正のトライアングルそれぞれの対策も、教科書的なモノではなく、現場のリアル的なものを提示しますよ！
ランサムウェア攻撃グループ「Qilin」は、アフィリエイトに優秀な弁護士チームへのアクセスを提供し、身代金の交渉における圧力を高めるという新たなマーケティング戦略を展開し始めている。
脆弱性は、SSH サーバーと通信できる状態であれば、認証なしに遠隔コード実行が可能であり、エクスプロイトコードの作成が容易であるため、当該ソフトウェアを利用している場合は攻撃者に狙われる可能性が高いと考えられます。
Interop Tokyo Best of Show Award は「技術的新規性」「技術的優位性」「コンセプトの新規性」「動態 / デモ展示をしていること」「訪問審査に対応した説明員のプレゼンの的確さ」「Interop Tokyo の開催日にあわせて製品やサービスが発表されているか」「社会に与えるインパクト」等の項目によって評価される。
ガートナーのリサーチ担当バイスプレジデント クレイグ・ローソン氏は 5 月に開催された同社のインフラストラクチャ、オペレーション&クラウド戦略カンファレンスで、次のように話した。「これまでまだ誰も パッチを適用することによって脅威アクターに対して大勝利をおさめたことはありません」と。ローソン氏によれば、これまでにハイパースケーラーや銀行、小売業者、政府機関とパッチ適用について話し合ってきたが、きちんとパッチを当て続けることができている企業や機関など 1 つもなかったという。
5 月に最も件数換算の被害規模が大きかったのは、株式会社保険見直し本舗グループによる「保険見直し本舗グループへのランサムウェア攻撃、約 510 万件の顧客情報が漏えいした可能性」の 約 510 万件 だった。
2025 年 3 月に、Microsoft Windows OS の Explorer にて、NT ハッシュ値の漏洩や Active Directory ドメインレベルでの権限昇格につながる脆弱性が公開されています。
明確さと、ネットワーク防御担当部署の負担軽減に力を注ぐことに皆で取り組むというのなら、CISA（米国サイバーセキュリティ・インフラセキュリティ庁）の元長官ジェン・イースタリーの提案を採用し、凝った詩的な名称で犯罪集団を「美化」するのをやめたらどうだろうか？
![CoGUI フィッシングキットを悪用した大規模フィッシングキャンペーン ほか [Scan PREMIUM Monthly Executive Summary 2025年5月度] 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/48886.png)
CoGUI は、少なくとも 2024 年 10 月頃から活動を展開していると見られています。Proofpoint 社は、観測された CoGUI キャンペーンには、同種のフィッシングキットで一般化しつつある多要素認証（MFA）に関する資格情報を取得する機能が含まれていないと指摘しており、同時に CoGUI が MFA 対応を試みている可能性も示唆しています。
2025 年 3 月に、Web アプリケーションの開発フレームワークである Next.js に、機密情報の漏洩につながる脆弱性が報告されています。
FBI によると、ランサムウェアによる被害額は過少計上されている可能性があり、ビジネス、時間、賃金、ファイルや機器の損失、あるいは第三者機関による問題解決のためのインシデント対応や復旧サービスの費用による影響は加味されていないという。「被害に遭った組織が FBI に損害額を報告しないケースもあるため、ランサムウェアによる被害総額が不自然に少なくなっている」とレポートには追記されている。
![CISO は取締役会の椅子をねらえ！ ～ CrowdStrike ジョージ・カーツ [RSAC 2025] 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/48819.jpg)
「オマエら！ CISO だったらチマチマした目標立ててないで、ドーンと取締役会の椅子をねらえ!」オマエら呼ばわりはもちろん実際はしてはいないのだがメッセージとしての強度はあきらかにこのトーンだった。意地悪に見るなら、世界から集まった各国の CISO 達に向けた、トランプよろしくのポピュリズム的メッセージに過ぎないのだが、そこには大統領より信頼できるに足る根拠があったし、具体的かつ実践的なアドバイスすら含まれていた。
脆弱性の悪用は容易ですが、開発者モードのソフトウェアをネットワーク越しにアクセスできる状態で動作させていることが前提条件となります。開発者モードでの動作は必要な時のみに限定し、開発環境内からのみアクセスできる状態で動作させる運用が安全です。
「結局のところ、この報告書で取り上げた脅威のいくつかについては、回避するための簡単な方法、または絶対確実な方法は存在しません」と Veriszon は述べている。
インシデントが起こるとセキュリティ会社は儲かるが保険会社はカネを失う。保険会社よりモチベーションの高いステークホルダーは当事者以外にいないかもしれない。いや、当事者であるユーザー企業はときに、迫る脅威を何も知らず正常性バイアスに満たされている可能性がある。一方金さえもらえば VPN のクレデンシャルが admin / admin とわかっていても気にしないセキュリティ企業も（日本には）存在する。一番クールに状況を分析し最悪のシナリオを検討しているのは保険会社だったというケースすらありうるかもしれない。
世間の反応を見ると、M&S の顧客はサイバーインシデントに対する同社の対応におおむね満足しているようである。理解できていない企業もあるが少なくとも英国では、被害に遭った側がサイバー攻撃の責任を取ることは非常に効果的であると、多くの組織が徐々に理解し始めている。大規模なセキュリティ侵害が発生した際の対応は、顧客とのオープンで誠実な、そして定期的なコミュニケーションに重きが置かれていくようになったのである。
4 月に最も件数換算の被害規模が大きかったのは、インターネットイニシアティブ（IIJ）による「「IIJセキュアMXサービス」に不正アクセス、4,072,650 件のメール情報が漏えいした可能性」の 4,072,650 件だった。しかし、IIJ ではその後情報漏えいの事実が確認されたのは、最初に漏えいの可能性があるとしたメールアカウント 4,072,650 件のうち 311,288 件が該当すると大幅に下方修正した。最大値を速報。インシデント情報共有の見本である。
新しい AI 機能により、任意の言語でフィッシングフォームを簡単に生成し、新しい地域向けに翻訳できるようになり、フィッシングサービスがさらに進化したという。「このカスタマイズにより、攻撃者は、認知度の低さと ROI の低さゆえにフィッシングキットの標的になることがほとんどなかったニッチブランドや地域ブランドを狙うことができるようになった」と Netcraft は 2 月に述べた。
あまたのセキュリティ対策と同様に、2FAおよび追加認証とて、効果がある、安全性が向上するという理由だけで経営層や消費者を納得させるのは難しい。
この議論の焦点は個人の給与額ではなく、高度なスキルを持つサイバーセキュリティ専門家を雇用することで得られる潜在的なコスト削減であるべきだと指摘した。2023 年に大英図書館がランサムウェア攻撃を受け、数百万ドルに及ぶと報じられた復旧費用がかかったが、もし英国が一流のセキュリティ人材にもっとお金をかけ、高額な外注業者への出費を減らせば、中央政府は同じように高くつく攻撃を受けるリスクを減らせるということだ。
2024年は金融機関にとって信頼を失いまくった1年だった。前代未聞クラスの内部不正の不祥事が、金融庁、東京証券取引所、野村証券、三菱UFJ銀行、三井住友信託銀行で発生した。これだけの大型不祥事が連続すると、恐怖！機動ビグ・ザムを量産されたみたいな絶望感だよ。インサイダー取引 量産型ビグ・ザムだ。やらせはせん！やらせはせんぞ！！
![オーストラリア 重要インフラ安全保障法 ほか [Scan PREMIUM Monthly Executive Summary 2025年4月度] 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/48485.jpg)
Dragos 社は、オーストラリアの「重要インフラ安全保障法（SOCI 法）」に関する記事を投稿しています。筆者が注目した点は、同法が「食品・日用品供給事業者」や「データ保管・処理施設」を対象分野に含めている点です。
2025 年 3 月に、Apache 財団の Tomcat にて遠隔からの任意のコード実行につながる脆弱性が報告されています。
ちなみに事例主義がもっとも猖獗を極めているのはメディアの報道である。事件や問題が起きると、それが日本全国で起きている、あるいは、その時代や世代に蔓延しているかのような報道になっているような表現をするのは、悪しき事例主義そのものと言える。医療の世界でも同じだ。一定の確率で薬や治療で事故は起きる。しかし事例主義的報道によって、時として薬や治療法そのものへの拒否反応につながる。
2025 年 1 月に、IObit 社の Malware Fighter にて管理者権限の奪取が可能となる脆弱性が報告されています。
岡山県精神科医療センターへはランサムウェア攻撃の調査を専門家に依頼するにあたり、その目的を「つまびらかに事実を記載し、ひとえに今後の対策にとって重要な情報を正確に把握して、公表すること」とし「一切の忖度なしで事実と責任の所在を明確にし、今後の警鐘とすることをお願いし」たとのことだ。
いろいろ考えさせられる文言である。それは、基本的には、あらゆるフォレンジック調査依頼とはこうした趣旨で行われなければおかしいからだ。とはいえわざわざこんなことを冒頭に書くのは明確に意志を感じた。
オラクルは、自社のパブリッククラウド帝国への侵入について顧客に手紙を送ったが、その際、「Oracle Cloud Infrastructure（OCI）」は影響を受けていないと主張したため、情報セキュリティコミュニティーでは嘲笑と怒りが入り混じった反応が巻き起こった。
ニューヨーク州は、非常に不適切な設計のウェブサイトを運営し、誰でも容易に個人情報を平文で探せる状態だったとして、オールステート保険を提訴した。「情報漏えいの具体的な原因は、ナショナル・ジェネラルが設計し公開した安全性が低い Web サイトにある。しかし、より大きい意味での原因は、同社が合理的なデータセキュリティ対策の実施よりも利益を優先したことにある」と訴状には記載されている。
2024 年 11 月に、Pandora FMS にて遠隔からの任意のコード実行が可能となる脆弱性の悪用手法が公開されています。
フランスの大手法律サービスプロバイダーはデータが公開される 2 日前に Resecurity が警告することのできた被害企業の 1 つである。その 1 週間弱前には、カナダの被害者にも同じ警告を伝えることができたという。セキュリティ企業は、攻撃の発生を防ぐことはできなかったが、犯罪者がデータ漏えいを計画したときに被害者たちに警告できたため、被害者たちはコーポレートコミュニケーションを整えることができた。
![Oracle Cloud からデータ窃取の報告 ほか [Scan PREMIUM Monthly Executive Summary 2025年3月度] 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/48172.jpg)
中国の生成 AI「DeepSeek」の登場は、生成 AI 市場における技術競争の激化を新たな段階へと押し上げました。同時に、この急速な進化は、AI 技術者を標的とした新たなサイバー攻撃が登場するなど、情報セキュリティにおける新たな脅威も浮き彫りにしています。
自分の情報が漏えいしていないかどうかチェックするサイト「Have I Been Pwned」で有名な情報セキュリティのベテラン、トロイ・ハント氏は、自身のメールチンプ（Mailchimp）メーリングリストがフィッシング詐欺師に侵害されたことを受けて、何千人という人たちにお知らせを送っている。
家電メーカーのうちパナソニックが新しい取り組みを行っている。開発中の製品を含む展示を行うショールームにハニーポットをしかけ、実際の攻撃やマルウェアを分析し、それを製品開発や出荷後のアップデートやセキュリティ対策に役立てるというもの。
