今週のサイバーセキュリティ情勢では、短時間で攻撃に悪用される脆弱性、レガシーシステムやサードパーティーシステムへの攻撃、AI関連のセキュリティリスク、認証情報や身分証明書、金融データを流出させる侵害が相次いだ。SonicWallの脆弱性が実際に悪用されたことでパッチ適用の緊急性が浮き彫りになったほか、Maersk、Railway、DigiCert、Chainalysis、Crédit Mutuel Arkéaに関するインシデントは、サードパーティーや見過ごされてきたインフラがもたらす結果を明らかにした。
主な脅威と脆弱性
実際の悪用と攻撃開始までの時間短縮
SonicWall SSLVPNの認証バイパス：CISAは、CVE-2026-19868が既知の悪用された脆弱性カタログに追加されたことを受け、実際に悪用されていると確認した。有効な代替認証情報を持つ攻撃者は、この脆弱性を悪用してSAML認証と多要素認証を回避し、内部ネットワークにアクセスできる可能性がある。組織は影響を受けるアプライアンスを特定し、利用可能な対策を直ちに適用するとともに、認証ログを確認し、流出した可能性のある認証情報を更新し、不審なVPNセッションを調査すべきだ。
公開エクスプロイトは数分で武器化される：CrowdStrikeは、脆弱性を悪用する攻撃者を、公開PoCコードの出現からわずか35分後に確認した。さらに、公開PoCが存在することを確認した脆弱性の91%が、48時間以内に攻撃された。セキュリティチームはPoCの公開を監視し、インターネットに公開されたシステムを優先するとともに、緊急パッチの適用を迅速化し、修正プログラムを速やかに展開できない場合は代替対策を講じるべきだ。
企業およびアプリケーションの重大な脆弱性
SAPが最大深刻度の脆弱性にパッチを適用：SAPは、CVSSスコア10.0の脆弱性4件に対処した。これらの脆弱性は、コード実行、認証、なりすまし、不正な操作に影響を及ぼす。公開時点で悪用は報告されていなかったが、最大深刻度であることから、迅速なパッチ展開、適用確認、露出状況の評価、不審な活動の監視が必要だ。
Windows版Zoom Workplaceの脆弱性：2件のZoom Windowsの脆弱性により、認証されていないネットワーク上の攻撃者が権限を昇格できる可能性がある。いずれもユーザーの操作を必要とし、悪用は報告されていない。管理者は管理対象エンドポイント全体に更新プログラムを展開して適用を確認し、脆弱なバージョンが削除されたことを確認するとともに、異常な権限変更を監視すべきだ。
Chromeが213件の脆弱性を修正：Googleの最新のChromeセキュリティアップデートは213件の脆弱性に対処した。その中には重大な脆弱性7件と高深刻度の脆弱性77件が含まれる。一部は悪意あるコードの実行を可能にするおそれがあるが、実際の悪用は報告されていない。組織はブラウザーの更新を徹底し、バージョン準拠状況を確認するとともに、機密性の高いアプリケーションへのアクセスに使われるシステムを優先すべきだ。
SamsungがAndroidとGalaxyの脆弱性に対処：11月の更新では、複数のAndroidおよびSamsung Galaxyの脆弱性が修正され、ユーザーの操作なしにリモートコード実行を許す可能性があるAndroidの重大な問題も含まれている。利用可能性と影響範囲は端末モデルや地域によって異なるため、管理者はモバイル端末を棚卸しし、パッチの提供状況を確認して、正常にインストールされたことを確認すべきだ。
iOSのサンドボックスバイパスが暗号資産データを脅かす：研究者は、悪意あるアプリケーションにアプリケーションファイルや暗号資産ウォレットの秘密情報をさらす可能性があるiOSの脆弱性を発見した。PoCは公開されているが、実環境での悪用は確認されていない。ユーザーは信頼できるアプリケーションにインストールを限定し、端末を最新の状態に保ち、アプリケーションの挙動を確認するとともに、影響を受ける可能性のある端末に保護されていないウォレットの秘密情報を保存しないべきだ。
GhostMapがAndroidをクラッシュループに陥らせる可能性：このGhostMap Androidの脆弱性により、悪意あるアプリケーションは権限や実行権限なしに端末を繰り返しクラッシュさせられる。復旧には工場出荷時設定へのリセットが必要になる可能性があり、データ損失につながるおそれもある。Googleは修正を約束していない。ユーザーは信頼できないアプリケーションを避け、復元可能なバックアップを維持し、今後プラットフォームやベンダーの更新が提供された場合は適用すべきだ。
ソフトウェアとAIに潜む体系的なセキュリティリスク
英国政府のコードに100件超の脆弱性：研究者は、英国政府のソフトウェアに100件を超える脆弱性があることに加え、公開されたMicrosoft Entra IDの認証情報や、過剰なSharePointおよびOneDriveへのアクセス権を発見した。報告された問題は修正済みだ。今回の調査結果は、公共部門のソフトウェアに対する認証情報のスキャン、最小権限アクセス、コードレビュー、依存関係分析、継続的なテストの必要性を改めて示している。
AIサプライヤーでは重大な脆弱性が依然として広く残存：Black Kiteの調査では、AI企業の34.2%に、パッチ未適用の重大な脆弱性が存在した。さらに9.8%には、CISAの既知の悪用された脆弱性カタログに掲載された脆弱性があった。企業はAIサプライヤーを統合前に評価し、そのセキュリティ態勢を継続的に監視するとともに、修正およびアクセス権取り消しの手順を確立すべきだ。
間接的プロンプトインジェクションが犯罪ビジネスとしてサービス化：脅威アクターは、間接的プロンプトインジェクションのツールを月額約150ドルで販売している。こうしたサービスは、一見普通のコンテンツに悪意ある指示を埋め込み、ユーザーがその内容を読む前にAIエージェントにデータを暴露させたり、不正な操作を実行させたりする可能性がある。防御策では外部コンテンツを信頼できないものとして扱い、エージェントの権限を制限し、機密性の高い操作には人間の承認を求め、AIモデルの外部で認可を実施すべきだ。
GPT-6 Cyberが大量の脆弱性を特定：OpenAIのセキュリティ特化型GPT-6 Cyberモデルは、これまで知られていなかったFirefoxの高深刻度脆弱性81件を発見したほか、Linuxカーネルの脆弱性に対するエクスプロイトも開発した。今回の結果は、AIが防御目的の発見を加速させる一方で、脆弱性管理と協調的な情報開示のプロセスへの圧力も高め得ることを示している。
詐欺と消費者を狙う脅威
年末商戦の詐欺が小売業者と買い物客を標的に：研究者は、返金詐欺、ギフトカード詐欺、小売業者へのなりすまし、侵害されたECアクセスが増加していると報告した。こうした詐欺は、直接的な金銭被害や顧客データの窃取につながる可能性がある。小売業者はアカウント変更や異常な返金を監視し、消費者はオファーや支払い要求を独自に確認し、安全な決済手段を利用して、不審なリンクを避けるべきだ。
業界ニュース
主なデータ侵害と恐喝インシデント
Maerskの侵害、引き継いだテクノロジーが原因：攻撃者は、Maerskが引き継いだレガシーITシステムを侵害し、データを窃取した。WhiteArmorは約100GBを取得したと主張し、500万ドルを要求している。組織は引き継いだシステムを棚卸しし、旧インフラに関連する認証情報を監査し、ネットワーク分離をテストするとともに、レガシー資産に適切な監視とセキュリティ責任者を割り当てるべきだ。
Vanderbiltがランサムウェアによる窃取疑惑を調査：BYODランサムウェアグループは、Vanderbilt Universityから100万件を超える社会保障番号を他の機密情報とともに窃取したと主張している。Vanderbiltは主張を確認しておらず、調査中も複数のサービスが制限されている。影響を受けた可能性のある組織やユーザーは、なりすまし犯罪、不審なアカウント活動、二次的なフィッシング攻撃を監視すべきだ。
SEGAのベンダーインシデントで購読者データが流出：ニュースレター配信業者ARARAへの侵害により、SEGAに関連する約220万件のメールアドレスが流出した。インシデント全体では8100万件を超えるアドレスが影響を受け、9万2000件を超えるSEGAのレコードには追加の購読者情報が含まれていた。このインシデントは、マーケティングやコミュニケーションのプロバイダーが、サードパーティーによるデータ流出の重大な発生源になり得ることを示している。
フィリピン税務当局、情報流出疑惑を調査：Bureau of Internal Revenueは、約1000万件のフィリピン納税者記録が流出したとの申し立てを調査している。この情報は、会計士や財務チームを狙った説得力のある偽の納税通知を犯罪者が作成するのに利用される可能性がある。組織は税務関連の要求を独自に確認し、標的型フィッシングや支払い詐欺について職員に注意喚起すべきだ。
DigiCertのアーカイブから身分証明書が流出：攻撃者は、2025年のインフラ移行後も16カ月を超えて公開状態にあった内部アーカイブを通じて、DigiCertの顧客データ、パスポート、運転免許証にアクセスした。このインシデントは、移行後の露出テスト、データ保持管理、資産の検出、廃止したリポジトリにアクセスできなくなったことの検証が重要であることを浮き彫りにしている。
Chainalysisの侵害でアカウントとコンプライアンスにリスク：流出したChainalysisのデータには、パスワードハッシュと有効なトークンが含まれていたため、不正なアカウントアクセスにつながる可能性が生じた。その結果としてサービスが停止し、暗号資産スクリーニング業務も妨げられ、コンプライアンス上の空白が生じる可能性がある。影響を受けた組織は、トークンを無効化し、認証情報をリセットし、アクセスログを確認するとともに、コンプライアンススクリーニングの継続手順を発動すべきだ。
API、ベンダー、サプライチェーンの侵害
Railwayの認証情報窃取で74万ドルの請求が発生：攻撃者は、Railwayから顧客のAPI認証情報を窃取し、約74万ドルの不正なAI利用料金を発生させた。最大10万のワークスペースが影響を受けた可能性がある。APIキーは特権認証情報として管理し、安全に保管し、流出時には更新するとともに、利用状況の監視、支出上限、異常な利用量のアラートで保護すべきだ。
Crédit Mutuel Arkéaが1億1800万ユーロを失う：攻撃者はサプライヤーのプラットフォームを悪用し、フランスの銀行自身の口座から約1億1800万ユーロを盗んだ。顧客口座には影響がなかったが、この窃取は侵害されたサードパーティーアクセスがもたらす金銭的危険を示している。銀行などの企業は、サプライヤーの権限を制限し、強力な認証を求め、取引を監視するとともに、ベンダーのアクセスを迅速に取り消せる状態を維持すべきだ。
血液銀行の冷蔵システムが操作される：攻撃者はサードパーティーの冷蔵設備プロバイダーを侵害し、フランスの3つの血液銀行施設で温度と霜取りの設定を変更した。監視により、血漿が損傷する前に変更が検知された。このインシデントは、運用技術環境において、ベンダーアクセスの分離、設定の監視、アラート、手動運用や代替運用への切り替え手順のテストが必要な理由を示している。
リーダーシップと政府の動向
NvidiaのCEOが辞任：Nvidiaの共同創業者Jensen Huangが辞任した。自身の行動への厳しい scrutiny と、中国の情報機関員と疑われる人物をめぐる疑惑が背景にある。今回の動きは、経営幹部に関する情報共有ルール、アクセス制限、外国情報機関の脅威に関する訓練、機微な接触の報告・調査手順を整備する必要性を浮き彫りにしている。
日本、AIに重点を置くサイバーセキュリティに資金を拠出：日本は、AIを利用したサイバー攻撃に対抗する6300万ドル規模の計画を発表した。この取り組みには、脆弱性テストと攻撃シミュレーションを行うAIチームのほか、脅威インテリジェンス、インシデント対応、影響を受けた組織への支援の拡充が含まれる。
セキュリティのヒントとベストプラクティス
ディープフェイクによるなりすましに対抗する
組織は、ディープフェイクによるなりすましのリスクを低減するため、検証手順、アイデンティティー管理、監視、従業員の意識向上を組み合わせることができる。
- 機密性の高い要求は、信頼できる経路を通じて確認する。
- 独立した承認と、フィッシング耐性のある多要素認証を必須にする。
- 検知ツールを使用し、経営幹部になりすまそうとする試みを監視する。
- 従業員に、ディープフェイクを見分けて報告する方法を教育する。
- インシデント、検証失敗、対応時間を追跡する。
人が書いたコードとAIが生成したコードを保護する
開発チームは、人間と機械が生成した成果物に同じ厳格な管理を適用すべきだ。なぜなら、AIが生成したコードにも深刻なセキュリティ上の弱点が含まれる可能性があるからだ。
- DevSecOpsツールを使用してコードをスキャンし、安全でないサードパーティー依存関係を特定する。
- アプリケーションの入力を検証し、認証情報を安全な保管庫に保存するとともに、最小権限を徹底する。
- デプロイ前に、セキュリティを重視したコードレビューと自動テストを必須にする。
- デプロイ前のセキュリティ合格率と、重大な脆弱性の修正にかかる時間を追跡する。
許可されていないAI活動を管理する
AIエージェントが企業データや操作にアクセスするようになる中、組織は許可されていないAI活動に対するガバナンスと防御を強化すべきだ。
- 明確なAIガバナンスと責任体制を確立する。
- エージェントの権限と、許可する接続先を制限する。
- 機密性の高い操作には人間の承認を必須にする。
- 外部コンテンツを信頼できないデータとして扱い、AIモデルの外部で認可を徹底する。
- エージェントの活動を監視し、プロンプトインジェクションへの防御をテストする。
- 機密性の高いAIワークフローについて、権限、接続先、承認を確認する。
買い物客と小売業務を保護する
消費者と企業は年末商戦の詐欺への露出を減らすため、アカウントセキュリティを強化し、独立した確認を行うことができる。
- 信頼できるウェブサイトで買い物をし、不審なオファーを確認するとともに、多要素認証を有効にする。
- 安全な決済手段を使用し、取引アラートを有効にするとともに、信頼できる販売元からギフトカードを購入する。
- 不審なリンクを避け、フィッシング、なりすまし、ディープフェイクを使ったプロモーションに注意する。
- 予期しない支払い要求、アカウント変更、返金通知は、独自に確認する。
サードパーティーリスクを継続的に評価する
今週発生したサプライチェーンインシデントは、ベンダーの監督がオンボーディング後に終わってはならないことを示している。
- 以下のサードパーティーリスク管理ツールを使用して、ベンダーのセキュリティを評価し、変化するリスクを継続的に監視する。
- ベンダーに対して、最小権限アクセスと多要素認証を徹底する。
- 重要なシステムを分離し、侵害されたサプライヤーからの露出を低減する。
- 不審な変更がないか、ベンダーの活動を監視する。
- ベンダー侵害の発生時にアクセスを無効化し、業務を維持するための手順を作成する。
- ベンダーのリスクスコア、アクセス違反、修正にかかる時間を追跡する。
ツールとリソース
コンプライアンスを簡素化 — すぐに使えるセキュリティポリシーを利用すれば、エンタープライズ向けのコストや複雑さなしにビジネスを保護できる。すべて100ドル未満で
AI支援によるセキュリティテスト
GPT-6 Cyberがこれまで知られていなかったFirefoxの高深刻度脆弱性81件を発見し、Linuxカーネルの脆弱性948件についてエクスプロイトを開発したことは、AI支援による脆弱性研究の役割が拡大していることを示している。こうした機能を評価するセキュリティチームは、自動検出を人間による検証、管理されたテスト、協調的な情報開示、エクスプロイト生成に対する強固な安全対策と組み合わせるべきだ。
セキュア開発と認証情報管理
DevSecOpsスキャナー、自動テスト、依存関係分析プラットフォーム、安全な認証情報保管庫は、人が書いたソフトウェアとAIが生成したソフトウェアの双方の欠陥を減らすための中核的なリソースであり続けている。こうした管理策はデプロイパイプラインに統合し、セキュリティ合格率と修正時間によって測定すべきだ。
サードパーティーとAIのガバナンスに関するリソース
サードパーティーリスク管理プラットフォームは、組織がサプライヤーを継続的に評価し、リスクスコアを監視し、アクセス違反を特定し、修正状況を追跡するのに役立つ。AIシステムについては、権限の確認、接続先の許可リスト、プロンプトインジェクションテスト、外部認可管理、人間による承認ワークフローが、エージェントの挙動を制約するための実践的な枠組みとなる。
検知、監視、継続性の管理策
ディープフェイク検知ツール、経営幹部のなりすまし監視、API利用状況の分析、支出アラート、トークンと認証情報の監視、運用技術の設定アラートが、今週は大きく取り上げられた。こうしたリソースは、訓練済みの対応手順、迅速なアクセス無効化、分離されたインフラ、信頼できるバックアップ、サプライヤーの停止や侵害時にも重要業務を維持する計画と組み合わせることで、最も効果を発揮する。
ニュースレターアーカイブの詳細をご覧になりたい場合はこちらをクリック。