2026年7月、AIによる脅威・世界的な情報漏えい・コンプライアンスの変化がサイバーセキュリティの週間動向を形作る

主要な脅威と脆弱性

重大なソフトウェア・インフラの欠陥

Citrix NetScalerに存在する深刻な脆弱性により、認証を経ていない攻撃者がSAML IdPアプライアンスからメモリ情報を窃取できることが判明しました。これにより認証データが漏えいするほか、サービス拒否(DoS)攻撃を招く恐れもあります。実際の悪用は報告されていないものの、概念実証(PoC)コードはすでに存在しています。組織は直ちにパッチを適用し、不審な挙動がないか監視するよう求められています。

Googleの最新のChromeアップデートでは、WebGL、Autofill、Blinkコンポーネントにおけるメモリ安全性の問題を含む18件の脆弱性が修正されました。ユーザーは速やかにブラウザを更新するとともに、ブラウザ経由の攻撃リスクを軽減するためゼロトラストソリューションの導入も検討すべきです。

新たに発見されたAI悪用手口とマルウェア

LayerXの研究者らは、「BioShocking」と名付けられた新たなプロンプトインジェクションの悪用手法を発見しました。この手法はAIブラウザを操作してセキュリティガードレールを回避させ、機密データへのアクセスを可能にします。組織はAIブラウザを特権的なアプリケーションとして扱い、重要システムへのアクセスを制限すべきです。

北朝鮮の脅威アクターによるものとされるmacOS.Gaslightマルウェアは、プロンプトインジェクションと偽のデバッグメッセージを利用してAIによる解析ツールを回避します。認証情報やシステムデータを窃取するこのマルウェアは、AI支援によるマルウェア解析においても人間による監視が不可欠であることを改めて示しています。

Lasso Securityが実証したGEOポイズニングという手法は、公開されているWebコンテンツを改ざんすることでAIが生成する回答を操作できることを示しています。この調査結果は、AIの出力内容を検証し、データ操作キャンペーンを監視する必要性を浮き彫りにしています。

暗号資産とブラウザを狙う脅威

McAfeeの研究者らは、Google Notesを装った偽のChrome拡張機能「Silent Swap」を特定しました。この拡張機能は暗号資産取引中にウォレットアドレスを別のものにすり替えます。このマルウェアはブロックチェーンを利用した指令サーバー(C2)通信を行うため、従来のブラウザ保護機能を回避してしまいます。ユーザーは検証済みの提供元からのみ拡張機能をインストールし、取引を承認する前にウォレットアドレスを再確認する必要があります。

AIによって加速するサイバー攻撃

ファイブ・アイズ情報同盟は、AIが脆弱性の発見から悪用までの期間を短縮させ、サイバー攻撃を加速させていると警告しました。AIはより説得力のあるフィッシングやプロンプトインジェクション攻撃も可能にしており、より迅速なパッチ適用と適応型の防御戦略が求められています。

PwCの最新レポートは、認証情報やセッショントークンを狙うAI主導のIDに対する攻撃が急増していることを明らかにしました。専門家は、こうした進化する脅威を軽減するため、フィッシング耐性を持つ多要素認証(MFA)、継続的な監視、ゼロトラストのアクセスポリシーを推奨しています。

業界ニュース

大規模な情報漏えい・データ露出

アフラック生命保険（日本法人）は、顧客情報、契約情報、銀行口座情報が漏えいする情報漏えい事件に見舞われました。この事件は、保険業界が金銭目的の攻撃者にとって狙われやすい脆弱な業種であることを改めて示しています。組織には、特権アカウントの活動履歴を見直し、フィッシング耐性を持つMFAを導入することが推奨されています。

KDDIは、攻撃者がサードパーティ製ソフトウェアの脆弱性を悪用したことで、最大1,420万件のメールアカウントに影響が及んだ可能性がある情報漏えいを報告しました。パスワードがハッシュ化されていたとしても、フィッシングやクレデンシャルスタッフィング攻撃を防げるとは限らず、サードパーティリスクの継続的な管理の重要性が浮き彫りになっています。

フランスでは、France Travail（フランス公共職業安定所）に関連する求人応募プロセスから、100万件を超える労働者の記録が流出したとされる事案が発生しました。流出したとされるデータにはソースコードや認証情報が含まれており、直ちにパスワードのリセットとMFAの導入を求める声が上がっています。

法執行機関による世界的な作戦

米国司法省(DOJ)は、SignalやWhatsAppのユーザーを狙うロシアのハッカーに関する情報提供に対し、1,000万ドルの報奨金を提供すると発表しました。攻撃者らはサポート担当者になりすまして復旧キーを盗み取っており、政府関係者、ジャーナリスト、NGO関係者など数千件のアカウントに影響が及んでいます。

世界各国の法執行機関は連携して「Operation Endgame」を実施し、StealCというマルウェア・アズ・ア・サービス(MaaS)のインフラを解体するとともに、盗まれた2,560万件超の認証情報を押収しました。Europolやサイバーセキュリティ企業の協力を得て実施されたこの作戦により、StealCの指令サーバー(C2)システムの脆弱性が明らかになりました。

米国司法省はまた、「Operation Offsides」の一環として、2026年FIFAワールドカップの違法ストリーミング配信に使われていた400件のドメインを押収しました。これは、無許可のストリーミングプラットフォームに伴うサイバーセキュリティリスクと、ドメインブロッキングの重要性を浮き彫りにしています。

企業・テクノロジー分野の動向

SOC 2準拠が企業の調達判断に与える影響が拡大しています。SOC 2レポートを持たないベンダーは、検証済みの監査証跡を求める購買側の要求により、営業サイクルが長期化する傾向にあります。監査文書や統制の証跡を維持することは、いまや運用面の成熟度を示すうえで欠かせない要素となっています。

Leonardoの自動ナンバープレート認識(ALPR)システム「SignalTrace」のアップグレード版は、近隣のBluetooth、Wi-Fi、RFID信号を検知し、それらを車両の動きと関連付けられるようになりました。この技術は法執行機関の能力を強化する一方で、プライバシーに関する重大な懸念も生じており、組織にはネットワーク接続された監視システムの保護が求められています。

インターポールの最新レポートによると、調査対象となったアジア太平洋地域の国々の半数以上で、サイバー犯罪が記録された犯罪全体の30%を占めており、フィッシング、ランサムウェア、AIを悪用した詐欺が脅威の中心となっています。

AIと進化する詐欺の手口

新たなAI活用型詐欺プラットフォーム「Kitana」は、リバースプロキシと対話型の攻撃者セッションを組み合わせることで、認証情報や決済データをリアルタイムで窃取します。この発見は、AIを活用した中間者攻撃(AiTM)の手口がますます巧妙化していることを示しています。

FortiBleedキャンペーンの背後にいる「CyberStrike Harvester」に関するArctic Wolfの分析により、Fortinet社のFortiGateデバイスを標的とした世界規模の認証情報窃取キャンペーンの実態が明らかになりました。このキャンペーンは現在も活動を続けており、世界中で数万台規模のシステムに影響を及ぼしています。

Infobloxの研究者らは、DCloud Uni-Appフレームワークに関連する23万6,000件を超える詐欺ドメインを発見しました。この事例は、正規の開発ツールが悪用され、世界的なフィッシングや詐欺行為の拡大に利用されうることを示しています。

セキュリティのヒントとベストプラクティス

規制コンプライアンスを強化する

• GRCツールを活用し、規制インベントリを常に最新の状態に保つとともに、監査準備を簡素化してコンプライアンス業務を自動化する
• 統制状況の監視やアクセス権限の見直しを通じて、社内および第三者のリスクを継続的に評価する
• 定期的なインシデント対応訓練や役割別トレーニングにより、コンプライアンス重視の企業文化を築く

貴社のAIは本当に安全か？

• 承認済みツールの一覧と利用規定を整備し、AIガバナンス体制を確立する
• 最小権限アクセスとフィッシング耐性を持つMFAにより、AIアプリケーションを保護する
• 従業員に対し、悪意あるAIプラグインやデータ漏えいのリスクを見極めるための教育を行う
• ガバナンス、ID管理、継続的な監視をAI関連の取り組みに組み込む

機密データの保護は十分か？

• 機密データを分類し、最小権限アクセスを徹底するとともに、保存時・転送時のデータを暗号化する
• データ損失防止(DLP)ソリューションを導入し、データアクセスを監視して不正な共有を防ぐ
• ランサムウェアや誤削除からの復旧に備え、不変かつオフラインのバックアップを維持する

サイバー犯罪への備えは万全か？

• フィッシング耐性を持つMFAを導入し、IAMツールにより最小権限アクセスを徹底する
• 強固なパッチ管理体制を維持し、重要システムをセグメント化して横方向への侵入拡大を防ぐ
• ユーザー教育を実施するとともにディープフェイク検知ツールを活用し、机上演習を通じてインシデント対応計画を検証する

コンプライアンス対応を簡素化しましょう — すぐに使えるセキュリティポリシーを入手すれば、エンタープライズ向けソリューションのようなコストや複雑さをかけることなく、自社を守ることができます。しかも価格は100ドル未満です。

組織には、進化を続ける脅威に対する防御を強化するため、GRC自動化プラットフォーム、AIガバナンスフレームワーク、ゼロトラストアーキテクチャの活用が推奨されます。目まぐるしく変化するサイバーセキュリティ環境の中でレジリエンス（回復力）を維持するには、定期的な監査、継続的な監視、そして従業員の意識向上が依然として最も効果的な手段であるといえます。

ニュースレターのアーカイブをさらにご覧になりたい方は、こちらをクリックしてください。