東京セキュリティブリーフィング 週次コラム 2026年01月18日（日曜日）

オープニング

こんにちは。東京セキュリティブリーフィングへようこそ。本日は2026年1月18日、日曜日です。

今週は非常に多くの重要なセキュリティニュースが報告された一週間でした。特に目を引くのは、複数のベンダーの重要インフラに影響する脆弱性の悪用、AIを悪用した攻撃の高度化、そしてランサムウェアグループによる新たな恐喝手法の登場です。

今週のコラムでは、これらの動向を分析し、日本のセキュリティ担当者の皆さんが来週以降に注目すべきポイントについてお話しします。

今週のセキュリティトレンド分析

重要インフラを狙う国家関連APTの活発化

今週最も注目すべきトレンドの一つは、重要インフラを標的とした国家関連APTグループの活動です。

Cisco TalosはUAT-8837として追跡される中国関連のAPTグループが、北米の重要インフラ組織への侵入に成功したと報告しました。攻撃にはSiteCoreの脆弱性CVE-2025-53690を含む複数の脆弱性が利用され、Earthwormなどのオープンソースツールで認証情報やセキュリティ設定の窃取が行われています。この攻撃は少なくとも2025年11月下旬から継続しているとされています。

また、CiscoはSecure Email GatewayのAsyncOSにおける最大深刻度のゼロデイ脆弱性CVE-2025-20393を修正しました。この脆弱性は中国関連のハッキンググループUAT-9686によって2025年11月下旬から悪用されており、永続的なバックドア「Aquashell」などのツールが展開されていました。

ポーランドでは、エネルギー網が12月末に「近年で最も強力」とされる大規模サイバー攻撃を受けたことが報告されています。再生可能エネルギー設備と配電網運用者を結ぶ通信経路が標的となりましたが、攻撃は成功裏に撃退され電力供給に支障はありませんでした。ポーランド政府はロシアによる破壊工作を示唆しています。

これらの事例から、国家支援のアクターが重要インフラへの攻撃を継続的に行っていることが明確に示されています。特にエネルギー分野と通信インフラが主要な標的となっており、日本の同分野の組織も警戒を強める必要があります。

AIを悪用した攻撃とLLMサービスを狙う偵察活動

今週は、AIとLLMサービスを標的とした攻撃活動についても複数の報告がありました。

GreyNoiseは、2025年10月から2026年1月にかけて9万1,000件を超える攻撃セッションを記録したと報告しています。攻撃者は設定不備のプロキシサーバーを標的にし、OpenAI、Gemini、Anthropic Claude、Meta Llamaなど主要LLMのAPIを体系的にテストしていました。この活動は、有料AIアクセスを露出させているプロキシを探す組織的な偵察キャンペーンと見られています。

世界経済フォーラムの「グローバル・サイバーセキュリティ・アウトルック2026」によると、回答者の94%がAIが2026年のサイバーセキュリティ変化の最も重要な要因になると予測しています。また、87%がAI関連の脆弱性が過去1年で増加したと報告しています。

AIを活用した詐欺も深刻化しています。Check Pointの研究者は、完全に捏造された投資環境を構築する高度な詐欺キャンペーンを発見しました。被害者は作り込まれたチャットルームへ誘導され、模擬された専門家や偽のニュース記事で信頼を醸成されます。生成AIにより大規模かつ個別最適化されたコミュニケーションが可能になっているのです。

ランサムウェアの進化と新たな恐喝手法

ランサムウェア攻撃も引き続き深刻な脅威となっています。今週は特に、攻撃者が新たな恐喝手法を採用していることが報告されました。

Akamaiの研究者によると、ランサムウェア集団がGDPRなどの規制違反を監督当局に通報すると脅す手口が増加しています。AnubisやRansomhubなどの集団がこの方法を使用しており、AI搭載ツールにより盗まれた文書からコンプライアンス違反を数時間でスクリーニングできるようになっています。

ランサムウェアグループ「Everest」は日産自動車から約900GBの機密データを流出させたと主張しています。侵害の事実は検証中であり、日産は公式に肯定も否定もしていませんが、製造に関する設計、顧客データ、財務情報が含まれる可能性があるとされています。

また、DeadLockランサムウェアグループは、Polygonブロックチェーンのスマートコントラクトを利用してプロキシサーバーアドレスを管理・ローテーションする新手法を採用しています。ブロックチェーンからのデータ取得は読み取り専用でトランザクションを生成しないため、従来のブロッキング手法が困難になっています。

サプライチェーンとサードパーティリスクの顕在化

今週は、サプライチェーンやサードパーティに起因するセキュリティリスクも複数報告されました。

Wizが発見した「CodeBreach」脆弱性は、AWS CodeBuildの設定ミスにより、AWS JavaScript SDKを含む重要なGitHubリポジトリが侵害される可能性があったものです。正規表現フィルターでわずか2文字が欠けていたことが原因で、クラウド環境の約3分の2にインストールされているSDKが危険にさらされる可能性がありました。AWSは48時間以内に問題を修正し、悪用の痕跡はなかったと報告しています。

n8nワークフロー自動化プラットフォームでは、CVE-2026-21858として追跡される最大深刻度の脆弱性が発見されました。約6万件のインターネット接続インスタンスが依然として脆弱な状態にあり、回避策はなくアップグレードが唯一の防御策となっています。

また、Endor Labsはn8n向けに8つの悪意あるnpmパッケージを発見しました。OAuthトークンやAPIキーを窃取する目的で作成されたこれらのパッケージは、ワークフロー自動化プラットフォームを認証情報保管庫として悪用する新たなサプライチェーン脅威を示しています。

Instagramのデータ流出騒動とプラットフォームセキュリティ

今週は複数のメディアがInstagramに関するセキュリティ問題を取り上げました。

Instagramは1,700万件を超えるアカウントデータがスクレイピングされたとの主張に対し、システム侵害を否定しました。外部の第三者がパスワードリセットメールを要求できるバグは修正済みと説明しています。流出したとされるデータにはパスワードは含まれておらず、2022年のAPIスクレイピングによる古いデータの可能性が高いとされています。

しかし、この騒動をきっかけに多くのユーザーが予期せぬパスワードリセットメールを受信しており、フィッシング攻撃のリスクが高まっています。二要素認証の有効化とメール内リンクをクリックしないことが推奨されています。

今後予想されるリスクと対策

重要インフラ保護の強化

今週の報告から、国家関連APTグループによる重要インフラへの攻撃が継続的かつ高度化していることが明らかです。

米国、オーストラリア、カナダ、ドイツ、オランダ、ニュージーランド、英国が共同でOT環境保護のためのセキュリティガイダンスを公表しました。このガイダンスでは、ネットワーク分割、多要素認証、活動ログ記録などを推奨しています。

日本の組織においても、外部からのアクセスはアウトバウンド専用接続をデフォルトとし、レガシーデバイスは信頼できないものとして扱うべきです。特にエネルギー、通信、製造分野の組織は、IT環境とOT環境の分離を再確認し、ネットワークセグメンテーションの強化を検討すべきでしょう。

Fortinet製品の緊急パッチ適用

Fortinet FortiSIEMの重大な脆弱性CVE-2025-64155が実環境で悪用されています。この脆弱性はCVSSスコア9.4と評価され、認証されていない攻撃者が細工したTCPリクエストを介してリモートコード実行が可能です。

FortiSIEM 6.7から7.5までのバージョンが影響を受けており、Horizon3.aiによるPoCエクスプロイト公開後わずか数日で攻撃が開始されたと報告されています。該当製品を使用している組織は、直ちにパッチを適用するか、一時的な回避策としてポート7900へのアクセスを制限することが推奨されます。

Palo Alto NetworksもGlobalProtectリモートアクセスゲートウェイに影響するDoS脆弱性CVE-2026-0227を修正しています。PoCが存在するため、速やかなパッチ適用が必要です。

AIセキュリティへの投資検討

世界経済フォーラムのレポートによると、AIツール導入前にリスクを評価する企業が64%に増加しています。一方で、AIを悪用した攻撃への備えとセキュリティ運用へのAI活用の両面が求められています。

CISOの最優先事項としてデータ保護強化が48%で挙げられており、AIを悪用した攻撃への備え、セキュリティ運用へのAI活用、自律型AIエージェントの導入も優先されています。BCGの調査では、過去1年にAI攻撃を受けた可能性がある組織は60%に上りますが、AI防御ツールの導入は7%にとどまっています。

組織はAIのリスクと機会の両面を評価し、段階的な導入計画を策定することが重要です。

サードパーティリスク管理の見直し

今週のAWS CodeBuild脆弱性やn8nサプライチェーン攻撃の事例は、サードパーティリスク管理の重要性を改めて示しています。

Panoraysの調査によると、CISOの60%がAIベンダーを「特有にリスクが高い」と評価する一方、専用審査プロセスを持つのは22%のみです。83%のCISOがサードパーティ脆弱性の完全な可視性がないと認めています。

組織は、使用しているサードパーティサービスの棚卸しを行い、セキュリティ評価プロセスを確立することが求められます。特にワークフロー自動化ツールやCI/CDパイプラインに関連するサービスは、認証情報へのアクセス権限を持つことが多いため、厳格な管理が必要です。

セキュリティ担当者へのアドバイス

経営層への報告ポイント

今週の動向を踏まえ、経営層に報告すべきポイントをまとめます。

まず、国家関連APTによる重要インフラへの攻撃が継続していることを共有してください。特に中国関連グループによる北米重要インフラへの侵入成功や、ポーランド電力網への攻撃は、日本の同業界にも影響し得るリスクとして認識すべきです。

次に、ランサムウェアグループが規制違反を利用した恐喝手法を採用していることを報告してください。GDPRやその他のプライバシー規制への準拠状況を再確認し、潜在的なリスクを評価することが重要です。

また、サプライチェーンリスクの顕在化についても言及してください。AWS CodeBuildの事例は、クラウドサービスの設定ミスが大規模なサプライチェーン攻撃につながる可能性を示しています。

監視を強化すべき領域

今週の報告に基づき、以下の領域での監視強化を推奨します。

Fortinet製品を使用している組織は、FortiSIEMのログを確認し、ポート7900への不審なアクセスがないか調査してください。また、Cisco Secure Email Gatewayを使用している場合は、AsyncOSの最新パッチが適用されているか確認が必要です。

n8nやその他のワークフロー自動化プラットフォームを使用している組織は、インターネットへの露出状況を確認し、認証設定を見直してください。コミュニティノードの使用を最小限に抑え、公式の連携機能を優先することが推奨されます。

LLMサービスへのアクセスを提供しているプロキシサーバーがある場合は、設定を確認し、不正なアクセス試行がないか監視してください。

優先的に対応すべきパッチ

今週公開された脆弱性のうち、優先的にパッチを適用すべきものをリストアップします。

Fortinet FortiSIEM CVE-2025-64155は、CVSSスコア9.4で実環境での悪用が確認されています。FortiSIEM 6.7から7.5を使用している組織は直ちに対応が必要です。

Cisco AsyncOS CVE-2025-20393は、CVSSスコア10.0の最大深刻度で、中国関連APTによる悪用が確認されています。Secure Email GatewayおよびSecure Email and Web Managerが影響を受けます。

MicrosoftのDesktop Window Manager脆弱性CVE-2026-20805は、実環境で悪用されているゼロデイです。CISAは連邦機関に2月3日までの修正を義務付けています。

HPE OneView CVE-2025-37164は、CVSSスコア10.0でRondoDoxボットネットによる大規模悪用が報告されています。該当製品を使用している組織は速やかにパッチを適用してください。

クロージング

今週は、国家関連APTによる重要インフラへの攻撃、AIを悪用した攻撃の高度化、ランサムウェアの新たな恐喝手法、そしてサプライチェーンリスクの顕在化という4つの大きなトレンドが見られました。

特に注目すべきは、攻撃者がAIを活用して効率化を図る一方、防御側のAI活用がまだ十分に進んでいないという点です。また、重要インフラを標的とした国家支援の攻撃が継続しており、日本の組織も警戒を怠らないことが重要です。

来週も引き続きセキュリティ動向にご注目ください。東京セキュリティブリーフィングでした。また次回お会いしましょう。