Black Hat 2026:CrowdStrikeの脅威ハンティングレポートが明らかにしたもの

サイバー攻撃者の動きはますます速まっており、力任せの手法ではなく信頼関係の悪用にシフトしつつあります。さらに、自動化とハンズオン（人手による）操作を組み合わせることで、従来型のセキュリティ対策を回避する傾向も強まっています。

CrowdStrikeはBlack Hat 2026にあわせて、2026年版脅威ハンティングレポートを発表しました。

同レポートによると、脅威アクターは脆弱性の悪用を加速させ、人工知能（AI）を悪用し、ソフトウェアサプライチェーンを標的にするとともに、アイデンティティおよびクラウド中心の攻撃へとシフトしていることが明らかになりました。

こうした手口の進化により、攻撃者が目的を達成する前に組織が検知・対応できる時間はますます限られてきています。

CrowdStrike「2026年版脅威ハンティング」レポートの主な要点

• AIを活用したサイバー脅威が89%急増、攻撃者は悪用とフィッシングを加速
• 観測された脆弱性攻撃の88%が、実証コード（PoC）公開から48時間以内に開始
• ビッシング、OAuth悪用、信頼されたアイデンティティの悪用が企業侵害の高速化を後押し
• ソフトウェアサプライチェーン攻撃は開発者向けツールやAIエコシステムを標的化
• クラウドを狙うeCrime活動が171%急増、認証情報や金融資産を狙う攻撃者が増加

AIがサイバー攻撃と脅威ハンティングを変える仕組み

同レポートの中心的な発見の一つは、AIが防御能力であると同時に攻撃対象領域にもなり、脅威アクターにとっての「フォースマルチプライヤー（戦力増幅装置）」にもなっているという点です。

CrowdStrikeによると、AIを活用した攻撃者の活動は2025年中に89%急増しました。攻撃者はフィッシングキャンペーン、偵察、エクスプロイト開発、そして作戦効率の向上にAIを利用しています。

また、AIが生成した検知の手がかりは、人間が生成したものと比べて2.5倍の頻度で発生していることも観測されており、現代の脅威ハンティングにおいてAIの役割が拡大していることを示しています。

同レポートではさらに、フロンティアAIが、脆弱性の開示から実際の悪用開始までの期間を短縮させつつあることも指摘されています。

2026年1月から6月にかけて、CrowdStrikeは、公開されている実証コード（PoC）が存在する脆弱性を悪用した攻撃の88%が、そのPoC公開から48時間以内に開始されていることを観測しました。

CrowdStrikeは、AI支援による脆弱性発見が今後さらにパッチ適用までの猶予期間を縮小させ、継続的なエクスポージャー管理の必要性を高めると予測しています。

アイデンティティを狙う脅威とビッシングが初期侵入攻撃を後押し

多くの攻撃者は、ソフトウェアの脆弱性のみを悪用するのではなく、信頼されたアイデンティティやクラウド認証、SaaSアプリケーションに焦点を当てるようになっています。

CrowdStrikeの報告によると、2026年上半期のビッシングによる侵入は、2025年下半期と比較して2倍に増加しました。

CORDIAL SPIDERやSNARKY SPIDERといった脅威グループは、IT担当者になりすまして従業員の信頼を得る手口を用いています。

その後、AiTM（Adversary-in-the-Middle：中間者)フィッシングページを通じてユーザーに認証させ、瞬く間にMicrosoft 365やGoogle Workspace環境へのアクセスを獲得しています。

観測された事例の一つでは、攻撃者がアカウント乗っ取りからデータ窃取に至るまで、5分もかからずに完了させていました。

同レポートでは、サイバー犯罪者が正規のMicrosoft認証ワークフローを悪用してクラウドアクセストークンを窃取する、OAuthのデバイスコードフィッシングが15倍に増加したことも判明しています。

ソフトウェアサプライチェーン攻撃が開発者エコシステムを標的化

開発者エコシステムは、依然として最も急速に拡大している攻撃対象領域の一つです。

CrowdStrikeによると、悪意のあるnpmパッケージは、2026年上半期に観測された悪意のあるソフトウェアレジストリ活動全体の87%を占めていました。

攻撃者は個別の組織を狙う代わりに、CI/CDパイプラインやパッケージリポジトリ、開発者向けツールを侵害することで、数千に及ぶ下流の被害者に到達するケースが増えています。

同レポートでは、最も活発なソフトウェアサプライチェーン脅威アクターとして、STARDUST CHOLLIMAとALTERED SPIDERを挙げています。

あるキャンペーンでは、ALTERED SPIDERがわずか1日で300を超えるソフトウェア依存関係を侵害し、同時に開発者の認証情報を窃取しました。この認証情報は、その後のクラウド侵入やランサムウェア活動につながりました。

CrowdStrikeはまた、AI開発環境がクラウド認証情報やAPIキーなど、企業インフラへのアクセス手段を多く含んでいることから、魅力的な標的になりつつあると指摘しています。

クラウド攻撃が認証情報窃取とクリプトマイニングを後押し

同レポートでは、金銭目的のクラウド攻撃への大きなシフトが指摘されています。

レポート対象期間中、クラウドを意識したeCrime活動は171%増加しました。脅威アクターはクリプトマイニング、クラウドリソースの乗っ取り、認証情報の窃取、そしてデジタル金融資産を狙う攻撃を追求しています。

攻撃者は境界防御の弱点を突くのではなく、有効な認証情報や認証トークンを使って信頼されたクラウド環境の内部で活動するケースが増えています。

CrowdStrikeは、攻撃者がクラウドAPIを悪用し、クラウド認証情報を窃取して、不正なクラウド利用料を数万ドル規模で発生させるクリプトマイニング活動を展開したキャンペーンを記録しています。

個々のクラウドAPI呼び出しは正当なものに見えることが多いため、同レポートは、悪意のある活動を特定するにはクラウド制御プレーン全体にわたる行動分析が不可欠になりつつあると強調しています。

現代の攻撃には継続的な脅威ハンティングが不可欠

侵入活動全体の増加は前年比でわずか約4%にとどまり、昨年の27%から大きく低下しました。しかしCrowdStrikeは、これはリスクの低下ではなく、脅威の状況が成熟してきたことを反映していると指摘しています。

攻撃者は、アイデンティティ、クラウド、AI、ソフトウェアサプライチェーンにまたがり、自動化とハンズオン攻撃を組み合わせた、ますます高度なキャンペーンを展開しています。

テクノロジー業界は9年連続で最も標的にされた業種となった一方、金融サービスおよび学術機関は、侵入活動が最も大きく増加した業種の一部となりました。

こうした傾向に対抗するため、CrowdStrikeはエンドポイント、アイデンティティ、クラウド、SaaS、開発環境全体にわたる、継続的かつインテリジェンス主導の脅威ハンティングを推奨しています。

同レポートはさらに、AI環境の保護、アイデンティティおよびソフトウェアサプライチェーンセキュリティの強化、攻撃対象領域の縮小、そして能動的な脅威インテリジェンスの活用も推奨事項として挙げています。

企業環境がクラウドとAIへと拡大し続けるなか、組織はもはや受動的なセキュリティ対策だけに頼ることはできません。

防御側は、行動監視、脅威インテリジェンス、そして継続的な脅威ハンティングを組み合わせることで、信頼されたアイデンティティや正規のインフラを悪用する攻撃者を検知していく必要があります。