サイバー犯罪者や国家支援型ハッキンググループは、検知を回避しながらアクセスを獲得するために、信頼された ID、クラウドサービス、AIツール、そしてソフトウェアサプライチェーンを悪用しています。CrowdStrikeの『2026年脅威ハンティングレポート』によるものです。
過去1年間で侵入活動は約4%増加しました。前回の報告期間と比べると増加幅は小さいものの、より的を絞ったキャンペーンへの注力が強まっていることがうかがえます。攻撃者は、信頼されたアクセス経路や正規インフラの悪用に、より多くの時間を投じるようになっています。
AIが攻撃を加速させる
脅威アクターは、システム侵害後にマルウェアやフィッシングメール、偵察用コマンド、スクリプトを生成するためにLLMを利用しています。AIは脆弱性の特定や概念実証(PoC)エクスプロイトの生成を後押しし、脆弱性の公表から悪用までの期間を短縮しています。
「AIは攻撃の計画・実行・拡大の方法を変えつつあり、同時に組織が守るべき攻撃対象領域も拡大させています」と、CrowdStrikeで対敵対者作戦部門を率いるAdam Meyers氏は述べています。「成功する組織とは、AIの導入と同じ積極性でAIを保護し、敵対者と同じ速度で防御するためにAIを活用する組織です」
攻撃者はAIサーバーソフトウェアを悪用して機密の設定データを窃取し、暗号資産マイナーをインストールしていたほか、金銭目的のグループは「LLMJacking」と呼ばれる攻撃で企業向けAIプラットフォームを悪用していました。
ある事案では、攻撃者がクラウドアカウントへの管理者アクセス権を取得した後、わずか2分間でLLMに対して約20万件ものリクエストを送信し、被害者側の負担でAIリソースを消費させていました。
攻撃者は、新たに公表された脆弱性をより迅速に悪用するようになっています。2026年1月から6月にかけて観測された悪用のうち、公開されているPoCコードが存在する脆弱性については、88%が公表から48時間以内に発生していました。中国系グループは、あるクリティカルなWebアプリケーション脆弱性の公表からわずか24時間以内に攻撃を仕掛けています。
開発者エコシステムが主要標的に
攻撃者は、開発者が利用する公開リポジトリにアップロードされたソフトウェアパッケージにマルウェアを仕込んでいました。いったんインストールされると、これらのパッケージは何千ものダウンストリームユーザーに悪意あるコードを拡散し得る状態になります。
npmパッケージレジストリは、今回の報告期間中に確認された悪意あるソフトウェアパッケージの87%を占めていました。
攻撃者がパッケージレジストリ、CI/CDパイプライン、コンテナレジストリ、IDE拡張機能を狙う理由は、これらが本番システムやクラウド環境、顧客ネットワークへのアクセスをもたらすためです。
北朝鮮関連のSTARDUST CHOLLIMAと、金銭目的のALTERED SPIDERが、最も活発なソフトウェアサプライチェーン攻撃者として特定されました。ALTERED SPIDERによるあるキャンペーンでは、一日のうちに300を超えるソフトウェア依存関係を侵害したとされ、これによりグループは認証情報を窃取しクラウド環境にアクセスできるようになったとみられています。
広がり続けるビッシング
ビッシング(音声フィッシング)は、初期アクセスを獲得する手法として最も急速に拡大しているものの一つとなっています。攻撃者は電話でIT サポート担当者になりすまし、従業員を説得して偽のログインページに認証情報を入力させたり、Microsoft Quick Assistのような正規ソフトウェアを使ったリモートアクセスを承認させたりします。こうした攻撃は正規の認証情報に依存しているため、従来のセキュリティツールをすり抜けてしまうことが少なくありません。
CrowdStrike OverWatchが検知した侵入のうち、ビッシングが初期アクセスベクトルであった可能性が高いものの月別件数(2024年1月〜2026年6月) (出典: CrowdStrike)
ビッシングに関連する侵入は、2024年から2025年にかけて134%増加しました。この勢いは2026年上半期にさらに加速し、直前の半年間と比べて2倍の件数が観測されました。
CORDIAL SPIDERとSNARKY SPIDERの両グループは、この手法を使ってシングルサインオンアカウントを侵害した上で、Microsoft 365やGoogle Workspace環境にアクセスしていました。あるSNARKY SPIDERによる侵入事案では、攻撃者がアカウント乗っ取りからデータ窃取に至るまで、5分もかからなかったといいます。
クラウド認証情報が狙われる
クラウドを標的としたサイバー犯罪活動は、過去1年間で171%増加しました。認証情報の窃取、暗号資産マイニング、AIサービスの悪用、デジタル資産窃取の試みなどが背景にあります。
最も急速に拡大している手法の一つが、Microsoftの正規の認証プロセスを悪用する「デバイスコードフィッシング」です。攻撃者は、信頼された認証ワークフローを通じて悪意あるログインを承認させるようユーザーを騙します。デバイスコードフィッシングの試みは、過去半年間で15倍に増加しました。
攻撃者は、暗号資産ウォレットやその他の価値ある資産へのアクセスを得るため、クラウド認証情報やAPIキー、クラウドサービスに保存された機密情報を狙っています。攻撃者はしばしば正規のアカウントや認証トークンに依存するため、こうした侵入を検知するには、異常なクラウド活動を特定することが重要な鍵となります。
テクノロジー、金融、教育が引き続き主要標的
テクノロジー分野は9年連続で最も標的にされた業界となりました。同分野の組織が価値あるIP(知的財産)を保有し、ソフトウェアサプライチェーン侵害への足がかりとなることが理由です。
金融サービス分野では、今回の報告期間中に侵入活動が11%増加しました。一方、大学・研究機関を標的とした攻撃は17%増加し、全業種の中で最大の増加率となりました。金融機関は引き続き、金融資産や顧客データを狙う攻撃者を引き寄せている一方、学術機関は研究成果や知的財産を狙われるケースが増えています。
翻訳元: https://www.helpnetsecurity.com/2026/08/06/crowdstrike-cyber-threat-trends-report/
