セキュリティ

Xandr、グラインダーの性的指向データ流出で史上最高額の罰金

by

概要 ノルウェーのデータ保護機関は、Microsoft傘下の広告部門Xandrが、出会い系アプリGrindrの利用者データを広告主に転送したとして、史上最高額となる860万ユーロ（約960万ドル）の罰金を科しました。 転送された情報には、ユーザーの性的指向や年齢、位置情報など、極めて機微な個人情報が含まれていました。 本件は「非常に重大」な違反と評価され、欧州のプライバシー規制に基づく厳罰が適用されました。 技術的詳細・特徴 Xandrは広告配信プラットフォーム上で、Grindrから取得したユーザープロファイルを匿名化せずにサードパーティ広告主へ提供していました。データはAPI経由でリアルタイムに送信され、同意取得や目的限定の原則が守られていませんでした。 影響・対策方法 同様のデータリレーを行う広告テクノロジーは、GDPRや各国のプライバシー法に抵触する可能性が高い。 企業はデータ収集・共有のフローを見直し、最小限の情報のみを匿名化して利用するべき。 ユーザーはプライバシー設定を確認し、不要なデータ共有をオプトアウトすることが推奨されます。 出典 情報元: The Hacker News

従業員のAIエージェントが無防備にログイン、企業が直面するリスクと対策

by

概要 個人向けAIエージェントが企業内で利用され始め、AmazonがMetaのMuseをボットとして識別できずブロックした事例が報じられました。エージェントが自動でログイン状態を保持することで、機密情報への不正アクセスリスクが高まります。プライバシーとセキュリティの課題が顕在化しています。 技術的詳細・特徴 AIエージェントはユーザーの認証情報を保存し、バックグラウンドでサービスにアクセスします。主な特徴は： シングルサインオン（SSO）やトークンの自動再利用 ブラウザやアプリ内での常時ログイン状態維持 メタデータが不足しているため、従来のボット検知システムで識別しにくい このため、エージェントが企業の内部システムやクラウドサービスに無意識に接続し、権限が過剰に付与されるケースが増えています。 Instinct社のエージェントはユーザーの会話履歴をクラウドに保存し、プライバシー保護が不十分と指摘されています。企業はデータ保持ポリシーを確認し、不要なデータ収集をブロックすべきです。 影響・対策方法 主な影響は情報漏洩、権限昇格、サービス妨害です。対策としては以下が有効です。 AIエージェントの利用をポリシーで明文化し、許可されたツールのみ使用する 認証トークンの有効期限を短くし、MFAを必須化する エージェントのアクセスログを監視し、異常な振る舞いをSIEMで検知する ボット検知システムにAIエージェント用の指紋情報を追加する さらに、エージェントが内部ユーザーになりすますことで、内部脅威として検知が困難になる点も注意が必要です。 出典 情報元: The Hacker News

AIを悪用したマルウェアやGitHub供給チェーン攻撃など今週の注目セキュリティニュース

by

概要 今週のSecurityWeekまとめでは、AIを利用したマルウェアが詩を使ってC&Cサーバを切り替える手法や、GitHub Actionsを悪用したシークレット盗難が拡大したことが報告されました。また、暗号資産取引所へのハッキングで巨額資金を不正取得した容疑で有罪判決が下された事例や、CISAの人材確保インセンティブ制度の条件変更も取り上げられています。 技術的詳細・特徴 「PoeLLM」マルウェアはGitHubに掲載された詩の4語をIPアドレスに変換し、C&Cサーバを動的に切り替える。対象はLiteLLM、Ollama、Gotenberg、GiteaなどのAI/OSSサービスで、暗号通貨マイニングとボットネット拡大を狙う。 GhostAction供給チェーン攻撃は、GitHub Actionsのワークフローを改ざんし、SSHキーやAWS・Azureの認証情報など2,577件のシークレットを盗み出した。影響は772リポジトリ（373組織）に及び、攻撃者は既存の2025年版プレイブックを再利用。 Uranium Financeへのハッキングは、スマートコントラクトの脆弱性を突き、最初の1.4億ドルに続き53.3億ドル相当を不正取得。資金はTornado Cash経由で洗浄され、コレクションカードや古代ローマ硬貨の購入に使用された。 CISAはサイバー人材保持インセンティブを2027年度まで継続するが、評価が「期待以上」以上でサイバー業務比率が51%以上という条件を追加。 影響・対策方法 AIサービスを外部に公開している組織は、認証・アクセス制御を強化し、不要なAPIキーを削除することが必須です。また、GitHubリポジトリのActions設定を最小権限に限定し、サプライチェーン監視を導入してください。暗号資産取引所はスマートコントラクトのコード監査と多層防御を徹底し、資金洗浄防止のためのトランザクションモニタリングを強化する必要があります。CISAの新基準に合わせ、人事評価と業務配分を見直すことでインセンティブを活用できます。 出典 情報元: SecurityWeek

Ciscoが35件の脆弱性を修正、重要なバッファオーバーフローに注意

by

概要 Ciscoは35件の脆弱性に対するパッチを公開し、うち12件以上がクリティカルと評価されています。Meraki、License On‑Prem、NX‑OS、APIC、Finesseなど幅広い製品が対象です。現時点で実際の攻撃は報告されていませんが、早急な対応が推奨されます。 技術的詳細・特徴 主な脆弱性はメモリ破壊や認証回避に関するものです。 Meraki: 7 CVEをまとめて修正。特にCVE-2026-76464はバッファオーバーフローや範囲外書き込みを引き起こす。 License On‑Prem: 8件修正。CVE-2026-20328は認証なしで不正アクセス、CVE-2026-76454はDoSを誘発。 NX‑OS: 14件修正（うち7件クリティカル）。CVE-2026-76455/76459は不適切なアクセス制御と書き込みエラー。 APIC: CVE-2026-76498〜76500は不適切なアクセス制御、OSコマンドインジェクション、メモリ欠陥。 Finesse: 高リスクのSSRF脆弱性（CVE-2026-20362）を修正。 影響・対策方法 これらの脆弱性は認証なしでリモートコード実行やサービス妨害を引き起こす可能性があります。対策は以下の通りです。 該当製品を使用中の組織は速やかにCisco提供の最新ファームウェアへアップデート。 NGOAMが有効なNexus 3000/9000シリーズは機能を無効化するか、パッチ適用を必須とする。 管理インターフェースへのアクセスはIP制限や二要素認証で保護。 Cisco Security Advisoriesを定期的に確認し、追加情報や新たな脆弱性に備える。 出典 情報元: SecurityWeek

Atlassian製品の任意ファイルアクセス脆弱性が実際に悪用開始 – 緊急対策のポイント

by

概要 Atlassianが自社製品の任意ファイルアクセス脆弱性（CVE-2026-21589）を修正した翌日、攻撃者が実際にエクスプロイトを試みていることが確認されました。影響はBitbucket、Confluence、Jira、Bamboo、Crowd などの Data Center 系列全製品に及びます。 攻撃は「::」を「/」に変換するルーティングの不備を利用し、..::..::..:: 形式でパス・トラバーサルを実行します。これにより WEB-INF/web.xml など本来閲覧不可のファイルが取得可能です。 取得した crowd.properties に記載された平文パスワードを使えば、Crowd の認証 API を呼び出し管理者権限を取得できるため、実質的に Jira 管理者アカウントを乗っ取ることが可能です。 技術的詳細・特徴 脆弱性は atlassian-plugins-webresource*.jar に含まれるルーティングコードのバグに起因。 「::」→「/」変換をバイパスし、..::..::..::file.txt というペイロードで任意のファイルを読み取れる。 PoC は watchTowr が公開し、実際に honeypot でアクセスが検知された。 影響・対策方法 直ちに Atlassian が提供するパッチを全インスタンスに適用。 パッチ適用後も crowd.properties など機密ファイルの平文パスワードが残っていないか確認し、必要ならパスワードを変更。 外部からの直接アクセスを防ぐため、ファイアウォールで Data Center の管理ポートを制限。 ログと IDS/IPS で「::」を含む不審なリクエストを監視し、検知された IP をブロック。 出典 情報元: Help Net Security

米兵がAT&T・Verizonへのデータ窃盗で70か月懲役

by

概要 米陸軍兵士がAT&TやVerizonなど複数の通信事業者から通話・SMSメタデータを不正取得し、約1億2000万件以上の個人情報を盗んだとして、70か月（約5年10か月）の懲役と約30万ドルの賠償金を言い渡された。 犯人は「Kiberphant0m」というハンドルで活動し、Snowflakeの認証不備を突いてクラウドデータを取得、さらに同僚と共に企業を脅迫してデータ公開を防いだ。 本件は2024年から2025年にかけての大規模サイバー犯罪で、米国司法当局が厳罰を適用した例として注目されている。 技術的詳細・特徴 主な手口は以下の通り。 多要素認証（MFA）未設定のSnowflakeアカウントから認証情報を取得し、クラウド上の顧客データをダウンロード。 AT&TやVerizonの内部システムに不正アクセスし、通話・SMSのメタデータ（発信元・宛先番号、時間、通話時間等）を大量に抽出。 取得したデータを公開しない代わりに金銭を要求する「エクストーション」手法を実行。 共犯者としてIoTボットネット運用経験のあるKenneth Schuchmanが関与し、脅迫メールの配信や攻撃の足掛かりを提供した。 影響・対策方法 被害は数千万件規模の個人情報漏洩で、詐欺やなりすまし電話のリスクが高まる。企業側は以下の対策が必須。 全ユーザーアカウントにMFAを強制し、認証情報の漏洩リスクを低減する。 クラウドサービスのアクセス権限を最小化し、定期的な権限レビューを実施する。 内部ネットワークの監視と異常検知を強化し、特権アカウントの使用をログで追跡する。 サプライチェーンのセキュリティ評価を行い、外部ベンダーのセキュリティ基準を厳格に適用する。 出典 情報元: Krebs on Security

GoogleがOSSバグバウンティを一時停止、AI自動報告の増加が原因

by

概要 Googleはオープンソースソフトウェア脆弱性報奨金プログラム（OSS VRP）で、無効な自動報告が急増したことを受け、製品脆弱性の受付を一時停止したと発表しました。供給チェーンや既に受理された報告には影響せず、2027年第1四半期に再開方針を示す予定です。 技術的詳細・特徴 ・OSS VRPは2022年に開始され、Googleのオープンソースプロジェクトに対する脆弱性を対象に報奨金を支払う仕組みです。・2024年以降、AIや自動化ツールを用いた大量のレポートが増加し、その多くが誤検知や情報不足で無効と判断されています。・今回の一時停止は「製品脆弱性」のみで、サプライチェーンや既存の未処理報告は継続して受理されます。・Googleは2026年10月1日以前に提出された製品脆弱性については報奨金支払いを継続すると明言しています。・同時に、ChromeとAndroidの報奨金制度を見直し、AIが得意としない高度な脆弱性（例: ゼロクリック）への報酬を上げる方針を示しました。・Cloud VRPやPatch Rewards Programは引き続き利用可能で、対象リポジトリに限り製品脆弱性の報告を受け付けます。 影響・対策方法 研究者は自動ツールだけに依存せず、影響範囲や実証コードを明示した高品質なレポートを他のプログラム（例: Cloud VRP、Patch Rewards）へ提出する必要があります。企業側はAI生成レポートのノイズ除去と、AIが検出しにくい脆弱性のテストを強化することで、実際のリスクを見逃さない体制を整えることが重要です。さらに、AI支援レポートの自動フィルタリングを導入することで、審査コストの削減と真に価値ある脆弱性の早期発見が期待できます。報奨金制度の変更に合わせて、バグハンティングの戦略を見直すことも推奨されます。 出典 情報元: SecurityWeek

元ハッカー逮捕とShinyHuntersの急激な攻撃拡大

by

概要 オランダで元サイバー犯罪者のペピェン・ファン・デル・スタップ容疑者（24歳）が逮捕された。逮捕直後、ShinyHuntersはFBIの機密データを盗み、ロシアのランサムウェア組織Cl0pを脅迫するなど攻撃を激化させた。本件はハッカーの“リフォーム”と組織のリスク管理の重要性を示す。 技術的詳細・特徴 ファン・デル・スタップはハンドル名“Umbreon”でRaidForums等に2.3百万件の個人情報を販売していた。白昼はサイバーセキュリティスタートアップでソフトウェアエンジニア、夜はデータ窃盗・身代金要求を実行。ShinyHuntersは漏洩データを暗号化し、身代金要求に暗号通貨を使用する高度な手法を採用。今回の逮捕は、内部関係者が外部ハッカーと結託するリスクを浮き彫りにした。 影響・対策方法 企業は漏洩情報の早期検知と公開を徹底し、MFAやゼロトラスト導入で認証強化を図るべき。脅威インテリジェンスでShinyHuntersのインフラや手口を監視し、被害に遭った場合は法執行機関と連携して証拠保全を行う。内部のセキュリティ意識向上と、過去の犯罪歴を持つ従業員のリスク評価も重要だ。 出典 情報元: Krebs on Security

警察が16歳リーダーのKillSecランサムウェア組織を壊滅

by

概要 米国と欧州の捜査機関は「Operation KillSwitch」と名付けた合同捜査で、KillSecランサムウェアギャングのデータ漏洩サイトとサーバーを押収し、3名を逮捕しました。容疑者の中心人物はわずか16歳の少年とされ、組織の運営や暗号鍵管理まで関与していたとみられます。 技術的詳細・特徴 KillSecはAES-256暗号化とRSA公開鍵を組み合わせた二層暗号化を採用し、身代金支払いに暗号通貨を要求。感染経路はフィッシングメールと脆弱なRDPサービスのクラックで、被害者のネットワーク内で横展開するためにPowerShellスクリプトとCobalt Strikeのペイロードを使用しています。C2サーバーは匿名化されたクラウドサービス上に構築され、通信はTLS 1.2で保護されていました。今回押収されたサーバーには、暗号鍵リストや被害者情報を自動で集計する管理パネルが残っていました。 影響・対策方法 企業や組織は、RDPの強固な認証設定や不要なポートの遮断、メールフィルタリングの強化で初期侵入を防止できます。また、PowerShellの実行ポリシーを制限し、未知のスクリプト実行を監視することが重要です。定期的なバックアップとオフライン保管に加え、暗号化されたファイルが検出された際は速やかにインシデント対応手順を発動し、復号鍵の要求に応じない方針を徹底してください。被害額は数百万ドル規模と推定され、特に医療機関や教育機関でのデータロックが報告されています。 出典 情報元: BleepingComputer

Citrix NetScaler ゼロデイ脆弱性が大量攻撃へ エクスプロイト拡散と対策

by

概要 Citrix NetScaler ADC/Gateway の未パッチ機器が、CVE-2026-88771/88772 のゼロデイで狙われ、公開されたPoC以降「スプレー＆プレイ」攻撃が急増している。 攻撃者は管理者権限取得、Webシェル設置、ログ改ざん、サーバ再起動を試み、Hetzner の IP へデータを流出させている。 Citrix はパッチと検知スクリプトを提供したが、完全な検知は保証できない。 技術的詳細・特徴 脆弱性はデフォルト設定のままリモートからコード実行が可能。 PoC が watchTowr Labs により公開され、GreyNoise が 9月24日に実際の攻撃試行を検知。 攻撃手法はログポイズニングと偽スタイルシート経由の Web シェル隠蔽。 エクスフィルト先は Hetzner のサーバ (138.199.200.90)。 この脆弱性は SSL VPN やリバースプロキシとしても利用されるため、外部からの直接アクセスが可能な環境全般にリスクが波及する。 影響・対策方法 NetScaler を使用している組織は直ちに Citrix 公開のパッチを適用。 外部からのアクセスが不要な管理インターフェースはファイアウォールで遮断。 Citrix 提供の検知スクリプトを実行し、異常な /nf/auth/doAuthentication.do リクエストを監視。 ログの改ざん痕跡や不審なアウトバウンド通信を SIEM で定期的に分析。 脆弱性情報を社内で共有し、定期的な資産スキャンで未パッチ機器を除去。 また、攻撃が成功した場合は内部ネットワークへの踏み台として利用され、さらなる横展開が懸念される。 出典 情報元: Help Net Security