Security

概要 CISA(米サイバーセキュリティ・インフラセキュリティ庁)は、SonicWallのエンタープライズ向けリモートアクセスゲートウェイ「SMA1000」シリーズに存在する2件の脆弱性(CVE-2026-15409、CVE-2026-15410)がランサムウェア攻撃に悪用されているとして警告を発し、既知の悪用脆弱性(KEV)カタログに追加した。SMA1000は大企業や政府機関、MSSP(マネージドセキュリティサービスプロバイダ)がVPN経由で社内システムへアクセスするために利用する製品であり、Shadowserverの調査ではインターネットに露出したままの機器が380台以上確認されている。連邦政府機関に対しては、CISAが定める拘束的運用指令に基づき7月17日までのパッチ適用が義務付けられていた。 脆弱性の詳細 悪用されている2件の脆弱性は、単独でも危険だが組み合わせることでアプライアンスの完全な乗っ取りを可能にする。 CVE-2026-15409: SMA1000のワークプレイスインターフェース、/wsproxyエンドポイントに存在するサーバーサイドリクエストフォージェリ(SSRF)。CVSSスコアは最大値の10.0で、有効な認証情報やユーザー操作なしに、認証されていないリモート攻撃者が悪用できる。 CVE-2026-15410: 管理コンソールのポート8188で提供されるホットフィックス削除ワークフローに存在する不適切なコード生成(コマンドインジェクション)の欠陥。CVSSスコアは7.2で、管理コンソールで認証済みの攻撃者が任意のOSコマンドをroot権限で実行できる。 攻撃者はまずSSRFの脆弱性で保護された内部機能へのアクセスを確立し、続いてコマンドインジェクションの脆弱性でアクセスを昇格させ、アプライアンスのroot権限を奪取するという手順を踏んでいるとみられる。対象となるのはSMA 6210、SMA 7210、SMA 8200vで、いずれもファームウェアバージョン12.4.3系および12.5.0系のホットフィックスリリースが影響を受ける。SonicWallは12.4.3-03453以降、12.5.0-02835以降で修正版を提供しており、回避策は存在しないためパッチ適用が必須となっている。 悪用の状況と背景 今回の脆弱性は2026年7月中旬に修正パッチが公開されたが、脅威アクターはそれ以前の6月22日の時点からゼロデイとしてこれらを悪用していたことが判明している。つまり公表の3週間以上前から実際の攻撃が行われていたことになる。セキュリティ企業Resecurityは、確認された攻撃をINCランサムウェアの関連グループに関連付けており、Ransomware.Liveの集計ではこのグループによる被害企業は885件に上るとされる。またインシデント対応企業Volexityは、UTA0533と呼ばれる脅威クラスタがこれらの脆弱性を通じてKNUCKLEBALL、Sou5、ROOTRUN、ORANGETAILといった独自のカスタムマルウェアを展開していたことを確認したと報告している。侵害を受けた組織では、高権限の認証情報やアクティブセッションデータベース、TOTP多要素認証のシード情報が窃取された事例も確認されている。 なお、CISAは同時期にMicrosoft SharePointのデシリアライゼーション脆弱性(CVE-2026-45659、CVSSスコア8.8)もKEVカタログに追加しており、こちらもインターネットに公開された8,500台以上のサーバーのうち200台以上が未パッチのままであることが判明している。SharePoint側の攻撃者は特定されていないが、両脆弱性が同時期にKEV入りしたことは、公開システムへの攻撃圧力が高まっていることを示している。 推奨される対応 CISAおよびセキュリティ研究者は、SonicWall SMA1000シリーズの利用者に対し、修正済みバージョンへの即時アップデートを強く推奨している。侵害の痕跡を確認するには、extraweb_access.log内の/api/login、/api/logout、/wsproxyへの予期しないリクエストや、ctrl-service.log内の不審なホットフィックスロールバック活動を確認することが有効とされる。侵害の可能性が疑われる場合は、単なるパッチ適用にとどまらず、アプライアンスを完全に再イメージ化した上で、すべてのパスワードとTOTPトークンをリセットすることが推奨されている。インターネットに露出したSMA1000がいまだ380台以上残っている状況を踏まえると、今後も同脆弱性を狙った攻撃が続く可能性が高く、早急な対応が求められる。

概要 Red Hat Advanced Cluster Management for Kubernetes(ACM)に、CVSSスコア9.9(最高レベル)という極めて深刻な権限昇格の脆弱性CVE-2026-10090が発見された。この脆弱性の危険性は、必要とされる権限の低さにある。攻撃者は名前空間スコープの「編集」権限さえ持っていれば、クラスタ全体の管理者権限であるcluster-adminロールにまで昇格できてしまう。マルチテナント環境で複数のチームやユーザーに限定的な権限を委譲しているKubernetesクラスタにとって、テナント分離の前提そのものを覆しかねない問題であり、ACMを本番環境で運用する組織は早急な対応が求められる。 攻撃の仕組み この脆弱性は「confused deputy(混乱した代理人)」問題として分類される。ACMのApplication Subscriptionコントローラーが、本来は低権限のユーザーが直接実行できない操作を、コントローラー自身の昇格された権限で代行してしまうことが根本原因だ。具体的な攻撃手順は次の通りとなる。まず、名前空間スコープの編集権限を持つ攻撃者が、自身の管理下にある悪意あるHelmリポジトリを指し示す「Channel」オブジェクトを作成する。次に、その悪意あるChannelを参照する「Subscription」オブジェクトを作成すると、脆弱なコントローラーが本来ユーザーには許可されていない昇格権限を用いて、指定されたHelmチャートを自動的にデプロイしてしまう。このチャートの中にClusterRoleBindingリソースを仕込んでおけば、任意のServiceAccountにcluster-adminロールを付与でき、結果としてクラスタ全体を掌握できる。CVSSベクトルは「AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H」で示される通り、攻撃元区分はネットワーク経由、攻撃条件の複雑さは低く、ユーザーの関与も不要という、悪用が容易な条件が揃っている。 影響範囲と対応状況 脆弱性が存在するのは、Red Hat Advanced Cluster Management for Kubernetes 2に含まれる「rhacm2/multicluster-operators-subscription-rhel9」コンポーネントである。ACMはマルチクラスタ環境の統合管理を担う中核コンポーネントであるため、影響を受けるとクラスタ単体にとどまらず管理下の複数クラスタ全体に波及するリスクがある。特に懸念されるのは、報道時点でRed Hatが「現時点でRed Hatの製品セキュリティ基準を満たす緩和策が存在しない(“no mitigation currently meets its product-security criteria”)」と明言している点で、正式な修正パッチはまだ提供されていない。 推奨される暫定対策 パッチが提供されるまでの間、Red Hatおよびセキュリティ研究者は以下の暫定対策を推奨している。まず、RBAC設定を見直し、必要最小限の権限のみを付与する最小権限の原則を徹底すること。特にChannelおよびSubscriptionオブジェクトを作成できるユーザーやグループを厳格に制限することが重要となる。あわせて、参照を許可するHelmリポジトリの所有権や出所を確認し、信頼できないリポジトリを指すChannelの作成を防ぐこと。さらに、ClusterRoleBindingの作成など、クラスタスコープのリソースに対する変更を継続的に監視し、異常なロール付与を早期に検知できる体制を整えることが望ましい。ACMを利用する組織は、Red Hatからの正式なセキュリティアドバイザリおよびパッチ提供状況を注視し、公開され次第速やかに適用する必要がある。

概要 ポーランドで約5万人に熱供給する熱電併給(コジェネレーション)プラントが、通信事業者が提供する専用モバイル網「プライベートAPN」を経由するという、これまで観測されたことのない侵入経路でサイバー攻撃を受けたことが明らかになった。攻撃は離れた場所にある風力発電所のファイアウォールを起点とし、最終的にプラント内の産業用制御機器(WAGOコントローラや複数のSiemens製コントローラ)に到達、蒸気タービンと給水処理システムが停止する事態となった。CERT Polskaの責任者によれば、3ヶ月に及ぶ調査の末、遠隔アクセス装置や既に消去されたハードウェアを経由する複雑な侵入経路がようやく判明したという。 侵入の経路 攻撃者はまず、風力発電所に設置された多機能ファイアウォール(FortiGate)を突破口とした。この機器は多要素認証(MFA)なしでVPN接続が可能な状態になっており、そこから侵入した攻撃者はセルラールーターの設定不備を悪用して、配電事業者(DSO)が運用するプライベートAPNに接続。本来は独立したOT(制御技術)ネットワーク同士を隔離するはずのプライベートAPNが誤って相互接続を許してしまっており、これを経由して風力発電所とは無関係の熱電併給プラントのネットワークにまで到達した。IT/OT境界の防御をすり抜けるこの手法は、キャリア側のプライベートモバイル網を侵入経路として利用した初めての確認事例とされる。 攻撃の経過とタイムライン 調査によると、攻撃者は12月18日から25日にかけて偵察フェーズを実施し、VNC、HTTP、S7、Modbusといった産業用プロトコルをスキャンして、デフォルトの認証情報が残されたままのWAGOデバイスを特定していた。そして12月29日早朝、攻撃を実行に移し、複数のPLC(プログラマブルロジックコントローラ)がSTOPモードに切り替えられパスワードで保護されるなど、Siemens製コントローラを含む制御機器が操作不能な状態に陥った。事件発生当日はプラントでメンテナンス作業が行われていたため、当初は人為的なミスによる停止と誤認されていたという。 背景と教訓 CERT Polskaの調査チームは、今回悪用されたようなプライベートAPNの設定ミスによる機器間の意図しない接続は、ポーランド国内で広く見られる構成だったと報告している。専用モバイル網は本来、公共インターネットから隔離された安全な通信手段と見なされることが多いが、その設定次第では複数の重要インフラ事業者のOTネットワークを不用意に結びつけてしまうリスクがあることが今回の事例で浮き彫りになった。同様の脆弱な構成は世界各地の電力・エネルギー事業者でも展開されている可能性があり、キャリア網を含めたサプライチェーン全体でのセグメンテーション見直しと認証情報の管理強化が急務と指摘されている。

概要 ビデオゲーム大手Valveは、Steam Deckなどのハードウェアを欧州の顧客に配送するパートナーであるCEVA Logisticsがサイバー攻撃を受け、顧客データが流出したことを顧客に通知した。攻撃は2026年7月29日から8月1日にかけて発生し、Valveは8月7日にこの事実を把握、その後対象顧客に通知メールを送付した。流出したのは氏名、住所、郵便番号、都市、国、電話番号、メールアドレス、購入したハードウェアの種類と価格といった情報で、攻撃から90日以内に注文した欧州の顧客が通知対象となっている。一方で、支払い情報、Steamのパスワード、Steam Guard認証コードなどのアカウント関連の機密情報へのアクセスはなかったとされ、Valveはユーザーに対しパスワード変更やアカウント設定の変更は不要と明言している。 被害の広がりと背景 今回の侵害はValve単体の問題ではなく、フランスに拠点を置き2025年に183億ドルの収益を上げた大手物流企業CEVA Logisticsへの攻撃に起因する、より広範なサプライチェーン被害の一部である。7月29日の攻撃により欧州の8つの倉庫が影響を受け、オランダの大手オンライン小売Bol、高級百貨店De Bijenkorf、サッカークラブAjax、ING銀行、眼鏡メーカーAce & Tateなど、業種を横断した複数の企業の顧客データが流出した。オランダのデータ保護当局には10の機関から被害報告が寄せられているという。攻撃の実行者や身代金要求の有無についてCEVAは情報を開示しておらず、詳細は明らかになっていない。また、この攻撃により当該地域では配送遅延や注文キャンセルも発生しており、物流網そのものにも支障が生じている。 今後の対応とユーザーへの注意喚起 Valveは今回の件について各国のデータ保護当局への通知を行うとともに、対象顧客に対してフィッシングメールやSMS、音声通話を使った詐欺への警戒を呼びかけている。攻撃者が流出した氏名や住所、注文情報を悪用し、Valveやその配送業者を装った巧妙なフィッシング詐欺を仕掛ける可能性があるためだ。今回の事案は、決済情報やアカウント認証情報そのものが直接盗まれたわけではないものの、委託先である物流企業のセキュリティ体制の脆弱性が、最終的に大手ブランドの顧客データ漏洩リスクに直結することを改めて示す事例となった。サードパーティやサプライチェーン企業への攻撃が、業界を問わず広範囲な二次被害を引き起こす構図は今後も繰り返される可能性があり、企業側には委託先を含めたセキュリティ管理の強化が求められている。

概要 OpenAIは8月10日、サイバーセキュリティ支援プログラム「Daybreak」を拡張し、認可された防御担当者向けにシステムレベルのガードレールを解除した新モデル「GPT-5.6-Cyber」を発表した。攻撃者がAIを駆使した攻撃を仕掛ける前に、防御側が脆弱性を先んじて発見・検証できるよう支援することが狙いだ。Daybreakは今回、マルウェア分析や脆弱性検出などの防御的タスクに対応する「Daybreak Blue」と、脆弱性研究や侵入テストなど攻撃的セキュリティ研究に対応する「Daybreak Red」の2階層に再編された。アクセスには身分確認と法的宣言が必要とされ、2026年9月からは全アカウントでハードウェアセキュリティキーの利用が必須となる。 技術的な詳細 OpenAIの内部ベンチマーク「Advanced Cybersecurity Completion Rate」によると、GPT-5.6-Cyberは機密性の高いサイバーセキュリティ関連の質問の95%に回答できるとされる。これは、標準版のGPT-5.6 Solがほぼすべてをブロックしてしまうような複雑なセキュリティ関連の問い合わせにも対応できることを意味する。実際の成果として、GPT-5.6-CyberはChromeのV8エンジンに存在していた未発見の脆弱性2件を特定しており、これらはCVE-2026-15903として登録された。 OpenAIの「Preparedness Framework」によるリスク評価では、GPT-5.6-Cyberのサイバー能力は「High」レベルに位置づけられており、最上位の「Critical」には至っていない。ただし、次世代モデルとされる「Astra」がCriticalレベルに達する可能性が指摘されており、AIのサイバーセキュリティ関連能力が急速に進化していることがうかがえる。ガードレールを解除した強力なモデルを一般提供するにあたり、Red/Blueのアクセス階層化や身分確認、ハードウェアセキュリティキーの必須化といった多重の認可プロセスは、攻撃側への悪用リスクを抑えつつ防御側の能力向上を図るOpenAIの姿勢を反映している。 今後の展望 AIによる自動化されたサイバー攻撃・防御の能力が急速に高度化する中、OpenAIは今回の拡張を「攻撃者に先んじる」ための取り組みと位置づけている。次世代モデルでリスク評価がCriticalレベルに達する可能性が示唆されていることから、今後は認可プロセスや監視体制のさらなる強化が求められる可能性がある。

概要 npmレジストリ上で、約800〜850個にのぼる悪意あるパッケージが公開され、Windows・macOS・Linuxの全プラットフォームを標的とするクロスプラットフォーム型のRAT(リモートアクセス型トロイの木馬)兼情報窃取マルウェア「WEL1DROPPER」を配布していたことが発覚した。このキャンペーンはセキュリティ企業Sonatypeにより「Flooding Dropper」と命名され、sonatype-2026-005660として追跡されており、CVSS 8.7・CWE-506に分類される深刻な脅威とされている。発端はOpenSourceMalwareの研究者Paul McCartyが「bigops-backend」という不審なパッケージを報告したことで、その後Sonatype Research Labs(Jorge Cardona氏ら)がわずか48時間で700個以上のパッケージが同一インフラから配布されていることを突き止め、大規模キャンペーンの全容が明らかになった。 AIを悪用したタイポスクワッティングの手口 攻撃者は「AI slopsquatting」と呼ばれる手法を用い、AIで大量生成したランダムなタイポスクワッティング名でパッケージを量産した。「bigops」や「bnpl」(後払い決済)といった単語を組み合わせた「bigops-api」「checkout-mobile-bnpl」「dolyame-boxy-desktop-bnpl-card-gallery」などの名称が確認されており、多くは正当な決済・チェックアウト向けSDKを装っている。特徴的なのは、従来型のマルウェア入りパッケージが悪用してきたnpmのpreinstall/postinstallといったライフサイクルフックを一切使わない点で、代わりに「lib/telemetry.js」や「_helpers.js」といった一見無害な計測用SDKを装ったファイルに悪意あるコードを隠し、パッケージがrequire()/importで読み込まれた瞬間に発火する仕組みになっている。多くのパッケージが「35.x.y」という共通のバージョン範囲を持ち、単一のアカウントではなく多数の自動生成されたnpmアカウントから分散的に公開されていたことも、大規模かつ組織的な攻撃であることを裏付けている。 感染チェーンと技術的詳細 感染は多段階で進行する。第一段階のJavaScriptローダーがホストのOSとCPUアーキテクチャを判定した上で、3つのCloudflare Workersホストを経由したHTTPS通信でペイロードを取得し、失敗時にはBase64エンコードされたDNS TXTレコードによるフォールバック経路で「wel1[.]ru」ドメイン配下から取得する。配信ドメインはプラットフォームごとに使い分けられており、Linux x64は「sdk.dl.wel1[.]ru」、Linux ARM64は「ext.dl.wel1[.]ru」、macOSは「pkg.dl.wel1[.]ru」、Windowsは「net.dl.wel1[.]ru」となっている。取得したバイナリは親プロセスから切り離された(detached)状態で実行されるため、インストールプロセスが終了した後も動作を継続する。 OS別のペイロードも高度な回避機能を備える。Windows版はEvent Tracing for Windows(ETW)やAntimalware Scan Interface(AMSI)をパッチして検知を無効化し、デバッガや仮想環境・サンドボックスを検出した上で、暗号化されたペイロード(/pkg/update_win.exe)をメモリ上にリフレクティブロードし、レジストリのRunキーとスケジュールタスクで永続化する。macOS版はlldb・dtrace・Frida・Wireshark・VMwareなどの解析ツールを検出する回避機構を持ち、LaunchAgent(com.apple.windowserver.helper.plist)経由で永続化した上で追加のビーコン(/pkg/beacon_mac.bin)を取得する。Linux版はUPXでパックされたELFバイナリで、オープンソースC2フレームワーク「Sliver」を配布するとみられる(Sonatypeは最終段階のペイロードがSliverであることを未確認としている)。さらに一時ファイルには「.cache_」「dotnet_diag_」など正規プロセスを装う名前が付けられ、6時間のレート制限を設けることで検出を回避する工夫も施されている。 ロシアとの関連性、そして今後の対策 macOS向けペイローク内には「tcsbank[.]ru」や「cloudpayments[.]ru」といったロシアの金融機関・決済サービスのドメインが埋め込まれており、ロシア国内のユーザーや金融セクターを標的にした攻撃である可能性が指摘されている。本キャンペーンは、2026年4月から5月にかけて250以上の悪意あるパッケージを公開した依存関係混同(dependency confusion)型キャンペーン「Moika」の後継、あるいは進化形とみられている。なお同時期にはUnit 42が、暗号資産窃取マルウェアを配布する別のnpmパッケージ群や、npm・PyPIを通じたクラウド認証情報の窃取、EtherHiding型C2ドロッパー、Solanaウォレット窃取、さらにはブラウザを商用プロキシネットワークの一部に組み込む悪意あるChrome拡張機能なども並行して確認しており、オープンソースエコシステム全体を狙った攻撃が広範囲に展開されている実態が浮かび上がっている。 Sonatypeは、感染が疑われる組織に対し、対象システムの隔離と既知の永続化メカニズムの捜索、プロセス・DNS・プロキシのテレメトリ調査、すべての開発者認証情報のローテーション、内部キャッシュやコンテナレイヤーからの感染パッケージの除去、そして新規パッケージ導入時の綴りの入念な確認を推奨している。今回の事例が示す最大の教訓は、「npmのライフサイクルスクリプトをブロックするだけでは不十分」という点だ。悪意あるコードはインストール時ではなくインポート時まで実行を遅らせることで、従来型の防御をすり抜けてしまう。開発者はサプライチェーンセキュリティ対策として、依存関係のスキャンだけでなく、実行時の挙動監視も含めた多層的な防御を検討する必要がある。

概要 セキュリティ企業GitGuardianは、ワークフロー自動化プラットフォーム「n8n」のAPIトークンがGitHub上の公開コミットから大量に流出していると報告した。開発者が誤ってAPIキーをコードとともにコミットしgit pushしてしまったことが主な原因で、2025年4月以降に公開された認証情報を追跡した結果、1,255のホスト名に関連する4,576件の固有トークンが特定された。オンラインで到達可能な896インスタンスのうち、実に321インスタンス（約36%）が流出したトークンをそのまま受け入れる状態だったという。これらは放棄されたシステムではなく、開発者が公開後も認証情報をローテーションしていない稼働中のライブサーバーである点が特に問題視されている。 発見の経緯と技術的背景 GitGuardianはGitHubの公開リポジトリを継続的に監視する自社の仕組みを用いて、流出したn8n APIキーを検出した。n8nのAPIキーは署名付きJSON Web Token（JWT）として機能するが、多くの古いトークンには有効期限が設定されていなかったため、数ヶ月前に流出したキーが調査時点でも依然として有効だった。2025年2月リリースのバージョン1.78.0でようやく30日間のデフォルト有効期限が導入されたが、それ以前に発行された無期限トークンは研究時点でも多数残存していたとされる。 攻撃チェーンとCVE-2026-25053 GitGuardianはさらに、APIトークンの流出だけでなく暗号化キーそのものにまで及ぶ攻撃チェーンを検証した。同社の分析によれば、n8nのJWT署名用シークレットは環境変数N8N_ENCRYPTION_KEYの文字を1文字おきに取得して導出される仕組みになっており、32文字の暗号化キーから16文字分のエントロピーしか持たない署名シークレットが生成されるため、実効的な強度が半減しているという。加えて、OIDC経由でプロビジョニングされたユーザーや登録未完了のユーザーのパスワードフィールドが予測可能な値になり得ることも、セッション偽造につながるリスクとして指摘された。実際の調査では、4,398インスタンスが公開のインスタンスIDを露出しており、うち129インスタンスは既知の弱い暗号化キーと一致したという。さらに、Gitノードの脆弱性であるCVE-2026-25053を悪用すると、--pathspec-from-fileオプションを使って認証済みユーザーが任意のファイルを行単位で読み取ることが可能になり、これによって暗号化キーや認証情報データベースを抽出できることも実証されている。 研究チームは完全にパッチ済みのテスト環境で、流出トークンを用いた4種類の攻撃シナリオ（インスタンスの列挙、保存済み認証情報を経由した外部サービスへの不正操作、データテーブルからの情報抽出、認証情報の生の値を攻撃者サーバーへ流出させる手法）を実証した。いずれも既知のソフトウェア脆弱性を悪用する必要はなく、標準的なHTTPリクエストだけで実行可能だったという。n8nはGmail、Slack、GitHub、AWS、Stripeなど多数のクラウドサービスと連携するため、単一の漏洩トークンから組織内の複数の重要システムへ波及するリスクがある点も強調されている。 対応状況と推奨される対策 GitGuardianは影響を受けた7組織（ホスティング事業者3社、個別企業4社）に責任ある情報開示を試みたが、ホスティング事業者1社と個別企業3社の計4社は応答せず、迅速な対応と認識を示したのはバグバウンティ制度を持つ1社のみだったという。n8n開発元への報告も行われているが、記事公開時点では第三者による独立した検証は完了していない。今回の問題はソフトウェア自体の脆弱性というより、有効な認証情報を通じた「正規アクセス」に起因するためCVEが発行されないケースも多く、発見や対処が遅れやすい点が課題とされる。GitGuardianは対策として、APIを非公開設定にする環境変数N8N_PUBLIC_API_DISABLED=trueの有効化、独立した高エントロピーの秘密鍵の生成、Git・Code・コマンド実行系ノードなど高リスクノードの無効化、外部タスクランナーによる実行環境の分離、外部への継続的なログ収集と監査の実施を推奨している。加えて、コードにシークレットを直接コミットしない運用の徹底、流出が判明したトークンの即時ローテーション、自動シークレットスキャンツールの導入、最小権限アクセス制御の適用も基本的な対策として挙げられている。

概要 米バージニア州アレクサンドリアの連邦裁判所は2026年8月5日、ランサムウェア・アズ・ア・サービス（RaaS）事業「Ransom Cartel」を設立・運営していたベラルーシ国籍のマクシム・シルニコウ被告（40歳、通称「J.P. Morgan」「lansky」）に対し、禁錮16年の判決を言い渡した。同被告は2021年から2023年にかけて、カリフォルニア州、ニューヨーク州、ネブラスカ州の企業を含む少なくとも18社を攻撃した罪に問われていた。 事業モデルと手口 シルニコウ被告は自ら攻撃を実行するだけでなく、RaaSの事業インフラそのものを構築していた点が特徴的だ。ロック化（暗号化）ソフトウェアを開発し、初期アクセスブローカーから侵入済みの認証情報を購入。さらに、アフィリエイト（実行犯グループ）が攻撃状況を監視したり被害企業と身代金交渉を行ったりするための隠蔽パネルを提供し、成果を上げたアフィリエイトに報奨を与える評価システムまで運用していた。身代金の受け取りには暗号資産ミキサーを利用し、資金の流れを隠蔽していたという。事業拡大に向けては2021年5月、ロシア語のサイバー犯罪フォーラムに「収益：1000万ドル以上。価格は100ドルから」とうたう求人広告を投稿し、独立国家共同体（CIS）圏外の企業ネットワークへのアクセスを提供できる協力者を募集していた。 逮捕から判決までの経緯 同被告は2023年6月に起訴され、同年7月にポーランドで逮捕、起訴内容自体は2024年に公開された。その後2024年8月、ポーランドから米国へ身柄が引き渡されている。ランサムウェア関連の量刑としては、2024年にREvil事件のウクライナ人被告ヤロスラフ・ヴァシンスキーが受けた禁錮13年7ヶ月の判決を上回るものとなった。 今後の見通し 事件は完全には終結していない。ニュージャージー州では関連する別の連邦起訴が進行中で、ボロディミル・カダリアとアンドレイ・タラソフの両名が共犯として起訴されているが、いずれも依然として逃亡中だ。米国務省はカダリアの身柄確保につながる情報に対し、最大250万ドルの懸賞金を設定しており、捜査は今後も続く見通しである。

概要 カナダ・オンタリオ州キッチナー在住のConnor Riley Moucka（26歳）が、シアトル連邦地裁でコンピュータ詐欺、電信詐欺、加重ID盗難、共謀の罪状を認めた。オンライン上で「Judische」「Waifu」の名で活動していたMouckaは、2024年に「最も影響の大きかったサイバー犯罪者の一人」とされる人物で、クラウドデータプラットフォームSnowflakeの顧客企業を標的とした大規模な侵害・恐喝キャンペーンを主導したとされる。被害は165以上の組織、1億人超の個人情報に及び、AT&T、Ticketmaster、LendingTree、Neiman Marcusといった大手企業も被害者に含まれていた。量刑公判は10月27日に予定されており、加重ID盗難罪だけで禁錮2年の義務的最低刑が科され、その他の罪状と合わせて最大32年の禁錮刑に直面する。 手口と被害の規模 2024年2月から10月にかけて、Mouckaと共謀者らはSnowflakeの顧客アカウントに対し、多要素認証(MFA)が設定されていない、あるいは何年も前に情報窃取型マルウェア(infostealer)によって窃取されたまま一度もローテーションされていない認証情報を悪用して侵入した。侵害調査を担当したセキュリティ企業Mandiantは、この手口について「特別に新しい、あるいは高度な技術・手法・手順の結果ではない」と指摘しており、基本的なセキュリティ衛生の欠如が被害を拡大させた要因であったことが浮き彫りになっている。窃取されたデータには、通話・テキスト履歴、銀行・財務情報、給与記録、DEA(米麻薬取締局)登録番号、運転免許証番号、パスポート番号、社会保障番号など、数十億件・テラバイト規模の機微情報が含まれていたとされる。 金銭的被害と恐喝の実態 共謀グループ全体では身代金として250万ドル超を獲得し、盗んだデータをBreachForumsなどのハッキングフォーラムで売却して約50万ドルの収益を得た。Mouckaは個人として身代金とデータ販売から少なくとも49万5000ドルを得たとされる。さらに、一部の被害者に対しては一度支払いを受けた後も追加の情報開示をちらつかせて再度金銭を要求する「二重恐喝(re-extortion)」を行っており、その対象には政府職員とその家族の個人情報も含まれていたと報じられている。被害を受けた企業側の実損は合計950万ドルを超えるとされ、FBI特別捜査官はMouckaの行為を「計画的で捕食的(predatory)」と評した。 共謀者の状況と今後の見通し 本件では複数の共謀者が関与したとされる。米陸軍兵士だったCameron John Wagenius(オンライン名「Kiberphant0m」)は2025年7月に既に罪状を認めている。一方、2021年のT-Mobile侵害事件にも関与したとされるJohn Erin Binns(オンライン名「IRDev」)はトルコ市民権を取得しており、米国への身柄引き渡しができない状態にあるため、依然として訴追の対象外にとどまっている。今回のMouckaの罪状認否は、クラウドサービス上に集約された大量の顧客データが、基本的な認証情報管理の不備一つで大規模侵害につながり得ることを改めて示す事例であり、企業に対しMFAの徹底や漏洩済み認証情報のローテーションといった基本的対策の重要性を再認識させる結果となっている。

概要 Progress社のロードバランサー製品「Kemp LoadMaster」に存在するコマンドインジェクションの重大脆弱性CVE-2026-8037(CVSSスコア9.6)が、実際の攻撃で悪用されていることが確認された。これを受けて米サイバーセキュリティ・インフラセキュリティ庁(CISA)は、同脆弱性を既知悪用脆弱性(KEV)カタログに追加し、連邦機関に対してBinding Operational Directive(BOD)26-04に基づき2026年8月10日までのパッチ適用を義務付けた。KEVIntelのテレメトリデータによれば、過去41日間で65のユニークIPアドレスから792件の悪用試行が確認されており、攻撃元はオーストラリア、中国、インドネシア、日本、ポーランド、米国など18カ国に及ぶ。直近では8月4日にも5件の試行が検出されており、攻撃活動は継続中とみられる。 技術的な詳細 CVE-2026-8037は、Kemp LoadMasterアプライアンス内の「escape_quotes()」関数におけるユーザー入力の不適切な処理に起因するOSコマンドインジェクションの脆弱性である。複数のコマンドエンドポイントで未サニタイズの入力を悪用することで、攻撃者は認証なしに任意のコマンドを実行できる。脆弱性は2026年6月4日に初めて開示され、その後6月29日に実証コード(PoC)が公開されたことで悪用リスクが一気に高まった。脅威対応を手がけるeSentireの脅威対応ユニット(TRU)がこの脆弱性の悪用試行を検出しているが、現時点では悪用が成功した侵害や侵入後の活動は確認されていないという。eSentireは、機能するPoCが公開されたことで今後さらに悪用が増加する可能性が高いと警告している。 今後の対応 CISAは2026年8月7日にCVE-2026-8037をKEVカタログへ追加し、連邦民間行政機関(FCEB)に対して週末を挟んだ8月10日までにパッチを適用するよう求めている。KEV掲載はCISAが実際の悪用を確認した脆弱性のみを対象とするため、連邦機関以外の組織にとっても優先度の高い対応事項となる。Kemp LoadMasterはエンタープライズ環境でトラフィック分散やアプリケーション配信制御(ADC)に広く利用されており、インターネットに公開された管理インターフェースを持つ環境では特に迅速なパッチ適用とアクセス制限の見直しが推奨される。