スイスの連邦IT局は、ハッカーが脆弱性を悪用して同局のMicrosoft SharePointサーバーに侵入し、約200アカウントが侵害されたと発表しました。
連邦情報技術通信局(BIT)は、7月28日にSharePointサーバー上で不審な活動をセキュリティ専門家が発見したことをきっかけに、このサイバー攻撃を検知しました。
侵害を確認した後、BITはSharePointへの外部インターネットアクセスを遮断し、疑われる脆弱性にパッチを適用したうえで、被害を受けたアカウントのパスワードをリセットしました。
「分析の過程で、セキュリティ専門家は7月31日金曜日、複数のアカウントのログイン認証情報が侵害されていたことを突き止めました」とBITは述べています。
同局は、攻撃者がMicrosoftが7月中旬に公表し、7月のPatch Tuesdayアップデートで修正されたSharePointの脆弱性を悪用したとみています。ただし、実際にどの脆弱性が使用されたかは明らかにされていません。
今回の攻撃には、積極的に悪用されているSharePointの権限昇格の脆弱性であるCVE-2026-56164、あるいは、後にSharePointのマシンキーを窃取してサーバーへのパッチ適用後もアクセスを維持するために悪用された、深刻なリモートコード実行の脆弱性である<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-50522が関与した可能性があります。
これら2つの脆弱性はいずれも、2026年7月のPatch Tuesdayアップデートで修正済みです。
今回のスイス政府への攻撃において、これらの脆弱性のいずれかが使用されたのか、それとも攻撃者が同アップデートで修正された別の脆弱性を悪用したのかは、依然として明らかになっていません。
BITはスイス連邦サイバーセキュリティ局およびMicrosoftの協力を得て、この事案の調査を進めています。
これまでのところ、侵害されたログイン認証情報以外にデータが窃取された形跡は見つかっていません。
同局によると、機密情報、特に機密性の高い個人データは、今回被害を受けたSharePointプラットフォームには保存が許可されていないとのことです。
BITは予防措置として、侵害を受けたサーバーの再インストールを進めており、この作業が完了するまで外部アクセスの遮断は継続されます。
連邦職員は、別の方法を通じて引き続き文書にアクセスし、外部の担当者と共有することができます。
現時点では、いかなるランサムウェアやデータ恐喝グループもこの侵害への関与を表明していません。
BleepingComputerはBITに対し、どの脆弱性が悪用されたのか、また調査によってデータ窃取の証拠が見つかったのかについて問い合わせましたが、直ちに回答は得られませんでした。
攻撃者に先んじて、あらゆる防御層をテストする
セキュリティチームが記録できている攻撃成功事例はわずか54%、アラートが発せられるのはたった14%にとどまります。残りは検知されないまま環境内を通過しています。
Picusのホワイトペーパーでは、侵害・攻撃シミュレーション(breach and attack simulation)がSIEMやEDRのルールをどのようにテストし、脅威が検知をすり抜けるのを防ぐかを解説しています。
