Security

概要 Ciscoは9月17日、Identity Services Engine(ISE)およびISE Passive Identity Connector(ISE-PIC)に存在する認証バイパスの脆弱性CVE-2026-76460(CVSS 10.0、最大深刻度)が実際の攻撃で悪用されていると警告した。原因はAPIエンドポイントにおける認証制御の不備で、攻撃者は細工したリクエストを送信するだけで、認証情報を一切持たずにWebベース管理インターフェースをバイパスして不正アクセスできる。Cisco製品セキュリティインシデント対応チーム(PSIRT)はアクティブな悪用を確認しており、回避策は存在しないため、パッチ適用が唯一の対策となる。CISAは9月16日付で本脆弱性を既知の悪用脆弱性(KEV)カタログに追加し、連邦民間機関に対しBOD 26-04に基づき9月19日までの3日以内の対応を義務付けた。 技術的な詳細と影響範囲 脆弱性の悪用に成功すると、攻撃者はroot権限でコマンドを実行できるようになる。これは単なる情報漏えいにとどまらず、侵入の痕跡を隠蔽・削除される恐れがあることを意味し、被害の発覚を困難にするリスクがある。影響は設定内容にかかわらずISE/ISE-PICの全構成に及ぶ。あわせてCiscoは、同じく最大深刻度とされる二次的な認証バイパスの欠陥CVE-2026-76423を含む、計7件の重大な脆弱性を修正した。 対象バージョンと修正パッチは以下の通り。 3.1: Patch 12 3.2: Patch 11 3.3: Patch 12 3.4: Patch 7 3.5: Patch 4 検知方法とCiscoの対応 Ciscoは侵害の兆候を確認する手段として、show logging application ise-kong/access.log | include dummyuser コマンドによるログ調査を案内している。セキュリティチームには、access.logファイル内の不審なユーザー名の確認に加え、ファイアウォールやネットワークログを突き合わせて不正な通信がないか精査することを推奨しており、侵害が疑われるノードについては再イメージ化の検討も呼びかけている。 今後の展望 CVSS 10.0という最大深刻度の評価に加え、認証不要で悪用可能かつroot権限が奪われる点から、企業ネットワークの中核を担うアイデンティティ管理基盤であるISEを狙う攻撃は今後さらに拡大する可能性が高い。CISAが連邦機関に異例の短期間での対応を義務付けたことからも事態の深刻さがうかがえ、ISE/ISE-PICを運用する組織は回避策が存在しない以上、速やかなパッチ適用とログ精査による侵害有無の確認が急務となる。

概要 AIコーディングエージェントなどの隔離実行環境として使われるDocker SandboxesのmacOS版に、サンドボックス境界を突破してホストファイルシステムへ不正アクセスできる重大な脆弱性が発見された。中心となるCVE-2026-77179はCVSSスコア9.4(Critical)と評価され、悪意あるゲストコードがサンドボックス外の任意のホストファイルを読み書きできる恐れがある。影響を受けるのはバージョン0.28.0から0.41.9で、9月7日リリースのv0.42.0で修正済みとなっている。 技術的詳細 CVE-2026-77179は、ゲストとホスト間のファイル共有を担うvirtio-fsホストサーバーの実装欠陥に起因する。削除されたファイルを再度開く際にシンボリックリンクを追跡してしまう挙動があり、攻撃者はサンドボックス内のプロジェクトディレクトリの親ディレクトリをシンボリックリンクに置き換えることで、本来アクセスできないプロジェクト外のホストファイルへ到達できてしまう。あわせて、CVSSスコア8.7(High)のCVE-2026-79994も公表されており、こちらはバージョン0.37.0から0.41.9に影響する。Unixドメインソケットのリレー機構におけるパス検証と実際の接続確立との間にタイミングウィンドウが存在し、この隙を突いたシンボリックリンク置換攻撃によって認可されていないソケットへのアクセスが可能になるというものだ。いずれも、正規のシンボリックリンク解決処理を悪用してサンドボックスの境界チェックを回避する点で共通している。 発見と対応、今後の影響 CVE-2026-77179はaccomplish.aiのOren Yomtov氏、CVE-2026-79994はThreatNotifyのJurre van Bergen氏がそれぞれ発見・報告した。Dockerは修正版v0.42.0のリリース(9月7日)から8日後の9月15日に脆弱性情報を公開している。報告を受けてから修正・公表までの具体的な猶予期間は記事内では明示されていない。現時点で実際の悪用報告は確認されていない。 Docker Sandboxesは、AIコーディングエージェントに安全な実行環境を提供する目的で設計された機能であり、今回の脆弱性はその前提そのものを揺るがすものだ。特に、マルウェアやプロンプトインジェクション攻撃によってエージェントが意図せず悪意あるコードを実行してしまうシナリオでは、サンドボックスの隔離が破られホスト環境が侵害されるリスクが現実的な脅威として浮上する。AIエージェントの実行基盤として同様のサンドボックス技術を採用している開発者は、速やかにv0.42.0以降へのアップデートを検討すべきだろう。

概要 Appleは9月14日、iOS 27・iPadOS 27・macOS「Golden Gate 27」・macOS Tahoe 26.7・visionOS 27・watchOS 27・tvOS 27・Safari 27など、ほぼ全プラットフォームを対象とした過去最大規模のセキュリティアップデートを配信した。修正件数は集計方法によって報道間で幅があり、SecurityWeekはiOS 27で約126件（うちカーネル関連20件）、macOS Golden Gate 27で210件（iOS 27と約100件が共通）、macOS Tahoe 26.7で153件（うちカーネル関連26件）と報じる一方、The RegisterはAppleの全製品を横断して260件超、Trend MicroのZero Day Initiative（ZDI）は273件のユニークなCVEと分析しており、いずれにせよAppleの歴史上最大級のパッチサイクルであることは共通している。修正はAppleKeyStore、Authentication Services、Foundation、Safe Browsing、Sandbox、Security、TCC、WebKitなど90以上のコンポーネントに及ぶ。 悪用状況をめぐる報道の食い違い 配信当初、The RegisterやSecurityWeekは「修正された脆弱性のいずれについても、悪用が確認されているとの記載はない」と報じ、ユーザーには念のための早急な更新を呼びかけるにとどまっていた。しかしZDIによる分析では、Screen Sharing Serverの認証バイパスの脆弱性（CVE-2026-65400、CVSS 9.8）についてCISAが実際の悪用を確認済みであるとしており、この脆弱性は有効な認証情報もユーザー操作も伴わずにネットワーク越しにScreen Sharingへ認証を通してしまうという深刻なものだ。対象はmacOS 27およびTahoe 26.7で、報道機関ごとに悪用状況の評価が分かれている点は注意が必要である。 注目すべき脆弱性 ZDIの分析によれば、今回のCVEのうちNVDで採点済みのものは severity 別に緊急2件、重要46件、警告84件、軽微2件で、残る139件は採点待ちとなっている。CVE-2026-65400のほかにも、Bluetoothスタックの脆弱性CVE-2026-65414（CVSS 9.8）は権限やユーザー操作を必要としないリモートコード実行を許し、8種類のOSプラットフォームに影響するという点で今回のリリース中で最も影響範囲の広い緊急脆弱性とされる。また画像処理フレームワークImageIOのCVE-2026-65346は、悪意ある画像を処理するだけで任意コード実行につながる「最も危険なリモートコンテンツ系バグ」とされ、Messagesの自動レンダリング機能により実際の攻撃に悪用されやすい構造になっている。SecurityWeekはさらに、CoreMediaのメモリ破損の脆弱性CVE-2026-64752について、Appleが該当コードを修正するのではなく完全に削除するという対応を取った点を特筆している。 背景と展望 The Registerは、今回のような大量のCVE公表を「vulnpocalypse」と呼び、AIによる脆弱性発見が急速に高度化している潮流の一環と位置づけている。今回修正されたCVEのうちAIが直接発見したと明記されているのは10件にとどまるが、その一例としてセキュリティ企業CalifがClaudeおよびAnthropicと協力して複数の脆弱性（少なくとも8件）を特定したことが挙げられている。企業のセキュリティ担当者からは、カーネルレベルの修正が多いことを踏まえ、即日リリースへの対応によって数週間ではなく数時間でデバイス群を最新化できる体制の重要性を指摘する声も上がっている。悪用状況の評価が報道によって割れている以上、緊急・重要度の高い脆弱性が多数含まれる今回のアップデートについては、ユーザー・組織ともに悪用の有無を待たず速やかな適用が求められる。

概要 Googleは9月16日、Pixel端末のセルラーモデムに存在する権限昇格の脆弱性(CVE-2026-58704、CVSSスコア8.0)が、限定的かつ標的型の攻撃で実際に悪用されていたことを明らかにした。原因はモデムのコード内にあるロジックエラーで、権限チェックをバイパスできてしまう不備だという。攻撃には隣接ネットワークへのアクセスと基本的なデバイス権限があれば足り、複雑度の低い手法かつユーザー操作を一切必要としないゼロクリック型の攻撃として成立する点が特徴だ。悪用されればモデムのサンドボックス環境の外にあるデータへアクセスされるおそれがある。Googleは攻撃者の身元や具体的な手口については明らかにしていないが、一部のPixel利用者が実際に被害を受けたと認めており、広報担当者は追加のコメントを控えている。 修正の内容と対応状況 この脆弱性は2026年9月のAndroidセキュリティ更新でパッチ適用済みで、セキュリティパッチレベル2026-09-05以降を適用済みの端末では影響を受けない。Pixelはハードウェアを自社で管理しているため、他のAndroid OEM機とは別のスケジュールで更新が提供されている。利用者は「設定」>「セキュリティとプライバシー」>「システムとアップデート」>「セキュリティアップデート」から更新状況を確認し、再起動を済ませる必要がある。同月の更新ではCVE-2026-58704に加えて109件の脆弱性が修正されており、BigOcean、ブートローダー、IMS、TEEなどのコンポーネントに関わる46件の重大(Critical)な脆弱性、88件の権限昇格の脆弱性、9件の遠隔コード実行(RCE)の脆弱性が含まれるという。米CISAは9月16日付でCVE-2026-58704を既知の悪用済み脆弱性(KEV)カタログに追加し、連邦機関に対して9月19日までの3日以内にパッチ適用を求めている。 背景と今後の見通し モデムの権限昇格の欠陥は、こうした能力を政府機関や法執行機関に販売するサーベイランスベンダーやスパイウェア開発企業によって悪用される事例が多いことが知られており、今回の限定的・標的型という攻撃の性質もこのパターンに合致する可能性が指摘されている。Googleは今年6月にもActively ExploitedとされたAndroid Frameworkのゼロデイ(CVE-2025-48595)を修正しており、モバイル端末を狙った高度な標的型攻撃への対応が続いている状況だ。今回のケースはPixelのモデムという通信の入口に近いコンポーネントが狙われた点で、通常のアプリ層の脆弱性とは異なるリスクを示しており、通信事業者や端末メーカーを含めたサプライチェーン全体でのセキュリティ対応の重要性を改めて浮き立たせている。

概要 Ciscoは9月15日、Secure Email Gatewayに存在するCVSS9.8のゼロデイ脆弱性CVE-2026-76461を修正するセキュリティアドバイザリとパッチを公開した。原因はメール解析ロジックにおける検証不足で、未認証の攻撃者が悪意あるSQL文を仕込んだメールを送信するだけでSQLインジェクションが成立し、最終的にroot権限での任意コマンド実行にまで発展する。物理・仮想アプライアンスを問わず、設定内容にかかわらず影響を受ける。Cisco PSIRTはすでに実際の攻撃でこの脆弱性が悪用されていることを確認しており、アドバイザリには回避策が存在しないと明記されている。 影響範囲と修正版 影響を受けるのはCisco AsyncOSソフトウェアのバージョン16.5、16.0、15.5以前を実行するオンプレミスのSecure Email Gateway(物理・仮想アプライアンス)、およびクラウド提供版のCisco Secure Email Cloudである。修正版としてはAsyncOS 15.5.5-014、16.0.4-302、そして推奨版である16.5.0-780が公開されており、Ciscoはクラウド上の全デバイスをすでに16.5.0-780へ更新済みだとしている。オンプレミス環境の利用者は自ら速やかなアップグレードが求められる。 実悪用と検知方法 米CISAは9月14日、CVE-2026-76461を既知の悪用済み脆弱性(KEV)カタログに追加し、連邦民間機関に対して9月17日までの対応と侵害有無の確認を義務付けた。攻撃者は特殊に細工したメールメッセージ内に悪意あるSQL文を仕込み、これを起点にOS上で任意コマンドを実行する手口を用いる。Ciscoはアドバイザリの中で、mail_logs内に不審なSQL文、特に「COPY … TO PROGRAM」構文を含むエントリがないか確認するよう呼びかけており、クラスタ構成の場合は構成内の全デバイスを個別に点検する必要があるとしている。 今後の対応 回避策が存在しない深刻な脆弱性であり、すでに実悪用が確認されていることから、影響を受けるSecure Email Gatewayを運用する組織は速やかな修正版への更新が急務となる。CISAによる期限設定は連邦機関向けだが、メールゲートウェイは組織の境界防御における重要な位置を占めるコンポーネントであるため、民間企業においても同様の優先度での対応が推奨される。

概要 デジタル庁は9月11日、政府共通の業務実施環境「ガバメントソリューションサービス（GSS）」が不正アクセスを受け、国家公務員や関連事業者ら合計約24万6000件の個人情報が流出した可能性があると発表した。原因は外部からの保守運用に使われていたVPN機器の既知の脆弱性を突かれたことで、松本尚デジタル相は「事案を極めて重く受け止めている」とコメントしている。マイナンバーや口座情報、年金番号といった機微情報は含まれていないとするが、既知の脆弱性への対応が後手に回ったことで被害が拡大した経緯が明らかになっている。 侵入から発覚までの経緯 security-nextなどの報道によれば、攻撃者は5月下旬頃からVPN機器の脆弱性を悪用してGSSへの侵入を開始していたとみられる。デジタル庁が異常を検知したのは6月25日で、保守運用担当者のアカウントを使った大量のファイルアクセスが確認された。その後、外部の協力を得て調査を進めた結果、7月9日にVPN脆弱性を突いた不正アクセスであったことが判明。該当アカウントを停止し、機器を外部通信から遮断する対応を取った。BleepingComputerの報道では、7月15日に個人情報保護委員会への通知が行われたとしており、検知から公表まで2カ月半以上を要したことになる。悪用された脆弱性自体はゼロデイではなく、深刻度が「中」程度の既知の脆弱性だったとされ、パッチ適用などの基本的な対策が遅れていた可能性が指摘されている。 流出した情報と被害範囲 流出の可能性がある情報は合計約24万6000件で、内訳は関係機関の職員・国家公務員に関する情報が約18万9000件、GSSを利用する関連事業者の従事者に関する情報が約5万7000件となっている。含まれるのは氏名、メールアドレス、電話番号、住所、所属といった個人情報で、BleepingComputerが伝えた数値では氏名約23万6000件、メールアドレス約23万1000件、電話番号約9万4000件、住所約1000件が対象という。デジタル庁はマイナンバーや口座情報などの重要情報は含まれておらず、現時点で情報の悪用は確認されていないとしている。 対応の遅れと今後の課題 今回の事件では、既に対策が公表されていたVPN機器の脆弱性が長期間放置され、侵入を許した点が最大の問題として指摘されている。ITmediaによれば、デジタル庁は脆弱性を深刻度別に優先して対応する方針を取っていたが、中程度とされた今回の脆弱性は対応の順番待ちの間に突かれたと説明している。デジタル庁は悪用されたアカウントの停止や機器の切り離しといった応急対応に加え、今後は脆弱性管理プロセスの見直しやセキュリティ対策の強化に取り組む方針を示した。政府の基幹システムにおける既知脆弱性への対応体制が改めて問われる事案となった。

概要 VMware vCenter Serverに存在する認証不要のリモートコード実行脆弱性CVE-2026-59310(CVSS 9.8)について、CISAはランサムウェアグループによる新たな悪用を確認したと警告した。この脆弱性はvCenterのSyslogサーバーに存在するディレクトリトラバーサルの欠陥で、Broadcomは2026年7月29日にパッチを公開していたが、その後も悪用が続いている。当初は国家支援型のスパイ活動グループが持続的アクセスの確立に利用していたが、9月中旬にはランサムウェアギャングによる積極的な悪用へと標的の性質が変化したことが明らかになった。 悪用の経緯と被害状況 DFIR企業QUIRSOは8月中旬、この脆弱性を突いた侵害の兆候が47カ国361件のIPアドレスで確認されたと報告していた。この段階の攻撃者はリバースSSHツールをデプロイし、長期的な遠隔アクセスと持続性の確保を主目的としていたとみられる。これに続き、CISAは同脆弱性をKEV(既知悪用脆弱性)カタログに登録し、「ランサムウェアキャンペーンで使用されている」と明記した。連邦政府機関に対しては通常より大幅に短い3日以内の対応を命じており、脅威の深刻さと緊急性の高さがうかがえる。インターネットスキャンサービスのShadowserverによれば、現時点でも450台以上のVMware vCenterサーバーがオンラインに公開されたままとなっており、そのうちどれだけがパッチ未適用のまま残っているかは不明だという。 リスクと対策 vCenterは仮想化基盤全体を統括する管理コンソールであるため、単一サーバーの侵害が企業ネットワーク全体へのアクセスや複数の仮想マシンの侵害、機密データの窃取につながりかねない。ランサムウェア集団にとっては、一度の侵入で広範囲かつ重要度の高いシステムを掌握できる効率の良い標的であり、これが今回スパイ活動グループに続いてランサムウェアグループも標的化を進めた背景にあるとみられる。CISAは組織に対し、セキュリティ更新プログラムの即時適用、インターネットに公開されたvCenterインスタンスの棚卸し、侵害の痕跡調査を求めており、通常の変更管理プロセスを迂回してでも緊急パッチ適用を優先するよう推奨している。パッチ自体は7月末から提供されているため、今回の警告は未対応の組織に残された猶予がほとんどないことを改めて示す内容といえる。

概要 KU Leuven、ETH Zurich、Durham University、Googleの研究者らが、Intel TDXとAMD SEV-SNPという主要な機密コンピューティング技術を破る新たなハードウェア攻撃「DDRop」を公表した。攻撃には、CPUとDDR5メモリモジュールの間に挿入する部品代約159ドル（200ドル未満）の小型インターポーザー装置だけが必要で、Teensy 4.1マイクロコントローラなど市販部品で自作できる。メモリコマンドバスに意図的にパリティエラーを起こしてエラー通知線を遮断し、選択した書き込みコマンドをメモリモジュールに静かに破棄させることで、CPUは新しいデータを書き込んだと認識しているにもかかわらず、実際には古い暗号化データがそのまま残り続ける「リプレイ攻撃」が成立する。Intel TDXを対象にした概念実証では、対象サーバをクラッシュさせることなく2分以内に確定的な攻撃が成功したという。 技術的な仕組みと影響範囲 DDR4を対象とした従来の同種攻撃では専用機材に17万ドル規模の投資が必要だったのに対し、DDRopはDDR5の再設計されたコマンドバスに対応した初のアクティブな仲介攻撃であり、しかも減速なしでネイティブ速度のまま動作する点が際立つ。影響を受けるのはIntel TDX、Intel Scalable SGX、AMD SEV-SNPで、暗号整合性(cryptographic integrity)モードは一部の攻撃経路を防ぐものの、すべてを防げるわけではない。Intel TDXでは、被害者の仮想マシンのメモリ読み取り、デバッグモードの有効化、認証済み測定値(attestation)の偽造までもが可能になるとされ、AMD SEV-SNPについてはページ複製機能を悪用する経路が確認されている。ただし実行には特権ソフトウェアへのアクセスと対象サーバーへの一時的な物理アクセスが前提となる。研究チームを率いるJo Van Bulck氏は、「スケーラブルな暗号化は暗号的な鮮度(freshness)保証よりもメモリ保護能力を優先する設計になっており、根本原因に対する簡単な修正は存在しない」と指摘しており、これはパッチ一つで解決できる欠陥ではなく、機密コンピューティングのメモリ暗号化アーキテクチャそのものに内在する設計上のトレードオフであることを示している。 ベンダーの対応と今後の展望 事前通知を受けたIntelとAMDはいずれも、物理的アクセスを要する攻撃は自社のクラウド脅威モデルの範囲外だとして、CVE番号の割り当てや即時の緩和策提供を見送る方針を示した。Intelは「範囲外ではあるが無視しているわけではない」としつつ、将来のメモリ暗号化設計におけるアーキテクチャ強化策を評価中と説明する一方、AMDは具体的な緩和策の計画を示していない。物理的な機材へのアクセスを前提とする攻撃ではあるが、マルチテナント型のクラウド環境やベアメタルサーバーを提供する事業者にとっては、内部関係者や第三者によるハードウェア改ざんのリスクとして軽視できない。DDRopは、ソフトウェアの脆弱性修正では対処しきれないハードウェアレベルの構造的な課題を機密コンピューティング業界に突きつけた形であり、次世代のメモリ暗号化規格でこうした鮮度保証の欠如がどのように是正されるかが今後の焦点になる。

概要 セキュリティ企業Volexityは、中国系の脅威アクター2組が2026年9月1日から、同一のChrome/Windowsゼロデイ攻撃チェーンを使ってNGO組織を標的にしていたことを検出した。1組目の「UTA0560」はJavaScriptベースのバックドア「GRIMWEDGE」を、もう1組の「JungleBamboo」（中国のAPTグループAPT31の別名）は認証情報窃取用のChrome拡張機能「LONGTALE」（別名GemStone）を、それぞれ異なる標的に配布していた。両者が使用したシェルコードはバイト単位で完全に一致しており、共有のサプライチェーンないしエクスプロイト仲介業者の存在を示唆している。 攻撃の手口とエクスプロイトチェーン 攻撃は寄付を装ったルアーを用いたスピアフィッシングメールから始まる。メール内のリンクは米国の大学ウェブサイトに存在した反射型XSS脆弱性を悪用しており、受信者を攻撃者管理下のインフラへリダイレクトする。そこから「Files1.html → react.min.js → page.html」という3段階のローダーを経て、Base64エンコードされた3つのシェルコードコンポーネント（ホスト偵察用の「p1」、Windowsカーネル権限昇格用の「p2」、ブラウザプロセスへのコード注入とペイロードダウンロード用の「pp」)が展開される。 脆弱性チェーンはChromeのV8エンジンにおける型混同(CVE-2026-85046)を起点に、WebAssemblyの欠陥(CVE-2026-87491)でサンドボックスをエスケープし、最終的にWindowsカーネル/ALPCの脆弱性(CVE-2026-85880)でレンダラープロセスへのコード注入と権限昇格を実現するという3段構成になっている。GRIMWEDGEは250行に満たない軽量な実装ながら、情報収集・ファイル操作・プロセス管理・コマンド実行など10種類の機能を備え、「%COMPUTERNAME%」を基にしたホスト固有のビーコンで標的ごとに個別のペイロードを配信する。GRIMWEDGE自体には組み込みの永続化機構はないが、サイドローディング用のローダーwsc.dllがスケジュールタスクを作成して永続化を担う。一方JungleBambooはChromeのSecure Preferencesを改ざんしてレガシーなHMAC検証のフォールバックを悪用し、ローダーSUPERSTOMPを介して、Google Geminiを偽装したChrome拡張機能LONGTALEをインストール、キーロギングやクッキー・セッショントークンの窃取、キーワードを起点としたスクリーンショット取得など14種類のリモートコマンドを実行できる。 浮き彫りになった「パッチギャップ」問題 今回のキャンペーンが専門家の注目を集めているのは、悪用された脆弱性が「パッチギャップ」を突いていた点だ。該当の修正はChromiumのソースコードには8月4日の報告後に取り込まれていたが、Google Chromeの正式な安定版リリースには反映されていなかった。この結果、Chromiumレベルでは既知のNデイ脆弱性であるにもかかわらず、実際にChromeを利用するユーザーにとっては未パッチのゼロデイとして悪用可能な状態が生じていた。Volexityは、大規模言語モデルの活用が攻撃者側のエクスプロイト開発速度を加速させ、こうしたパッチギャップ脆弱性のリスクをさらに高めている可能性があると高い確信度で評価している。 対応状況と今後の展望 Googleは9月3日にChromeの正式パッチを配布し、CISAは翌9月4日にKnown Exploited Vulnerabilities(KEV)カタログへ本脆弱性チェーンを追加、連邦機関に対して9月18日までの対応を義務付けた。異なる攻撃者集団がバイト単位で同一のシェルコードを共有していた事実は、中国系APTの間でエクスプロイト開発やインフラが集中的に供給されている可能性を示しており、今後も同様の「パッチギャップ」を突く攻撃が繰り返される懸念がある。組織、とりわけ寄付キャンペーンなどで注目を集めやすいNGOは、Chromeやブラウザ関連ソフトウェアの迅速なアップデート適用と、フィッシングメール内リンクへの警戒を強めることが求められる。

概要 英国のフィンテック大手Revolutは、正規の政府機関のメールドメインを悪用したなりすまし攻撃を受け、顧客の機微情報が攻撃者に渡ったことを明らかにした。攻撃者は「有効なドメイン認証情報」を伴うメールでRevolutに顧客データの開示を要求し、同社は「本物の政府機関からの正当な要請である」と合理的に信じて対応してしまったという。流出したのはパスポートや運転免許証の写し、本人確認用のセルフィー画像、氏名・生年月日・職業、住所・メールアドレス・電話番号、口座明細書やIBAN番号、暗号資産取引を含む取引履歴など、極めて機微性の高い情報に及ぶ。Revolutは「Revolutのシステムおよび顧客資金への影響はない」としている。 攻撃の手口と発覚の経緯 今回の攻撃は、なりすまし先の政府機関が実際に使用する正規のメールドメインから送信されており、送信元のドメイン認証(SPF/DKIM等)が正当なものであったことから、Revolut側は真正な要請だと信じて情報を提供してしまった。不正利用が判明した後、Revolutは該当のメールアドレスを即座に遮断し、なりすまされた政府機関本体に加え、法執行機関、データ保護当局、金融規制当局にも通報したと説明している。ただし同社は、侵害の発覚時期や影響を受けた顧客の正確な人数について具体的な情報を明らかにしていない。暗号資産詐欺の調査で知られるZachXBT氏は、今回の攻撃が高純資産(高額資産保有)顧客を狙った標的型のものである可能性を指摘している。 影響範囲とRevolutの対応 Revolutは影響を受けた顧客数について「限定的」とするのみで、具体的な数字や被害が特定の地域に限られるかどうかについては回答を避けている。同社は影響を受けた顧客に直接通知を行ったとしており、システムや資金そのものへの侵害はなかったと強調している。Revolutは世界30カ国以上で8000万人を超える顧客基盤を持つ大手フィンテック企業で、米国での銀行免許の条件付き承認を最近取得し、評価額2000億ドル規模とも言われるIPOの準備を進めているさなかでの発覚となった。 背景と今後の展望 Revolutにとって今回は2度目となる大規模な情報流出であり、2022年にも約5万150人の顧客に影響する侵害を公表している。今回の事案は、技術的な脆弱性の悪用ではなく、正規のメール認証情報を持つなりすましという「人的・運用プロセス」の隙を突いた攻撃である点が特徴的だ。金融機関が本人確認や捜査協力のために外部からの照会に応じる業務フローそのものが標的となっており、他の金融サービス事業者にとっても、政府機関からの要請を検証する手続きの厳格化が急務であることを示す事例といえる。今後、規制当局による調査の進展や、影響を受けた顧客への具体的な補償・支援策が焦点となる見通しだ。