セキュリティ

出張先のホテルでWi-Fiにつなぐ。その当たり前の行動が、企業アカウントを狙う攻撃の入り口になるかもしれない。端末ではなくWi-Fiの「裏側」を狙い、接続する利用者を横断して攻撃する手口が流行しているという。

AIで生成された文章は、見た目だけでは人間が書いたものと区別しにくいが、そんな状況が変わるかもしれない。AnthropicはClaudeの生成テキストに、人間には見えない透かしを埋め込む取り組みを開始した。しかも、その痕跡はコピー＆ペースト後にも残る可能性があるという。

Sysdigは、LLMを活用してAWS環境への侵入を自動化する攻撃を観測した。攻撃者は約8分で管理者権限を奪取し、19個のAWSプリンシパルを横断的に侵害した。

メールアカウントはパスワードリセットや本人確認が集まる「デジタルライフの鍵」であり、攻撃者が最も狙う標的でもある。侵害の手口や急増するフィッシングの実態を知ることで、個人・企業それぞれの対策を講じられるようになる。

AIセキュリティに関する総務省のガイドラインを理解していても、十分に生かせていない――。背景には何があるのか。ChillStackの調査からは、企業がAIに関するセキュリティ対策を進める上での課題が浮かび上がった。

Claude MythosをはじめとしたフロンティアAIの登場で脆弱性管理の常識がひっくり返る未来が来ている。深刻度が高い脆弱性だけに対処する方針が“時代遅れ”になりつつある今、企業が押さえるべき“きほんのき”とは。

オープンソースソフトウェアは重要インフラにも広く使われているが、その公開コーレポジトリはサイバー攻撃者にとって格好の標的になる。脆弱性対応を個々のプロジェクトに任せずに大手企業が積極的に関与する取り組みを、Linux Foundationが始めている。

デジタル庁の国家資格システムで、150人分の個人情報が別省庁に送付される事案が発生した。「このデータには対象者しか入っていない」――そう思って作ったファイルに、対象外のユーザーが混ざっていたという。原因を追うと、開発・運用の現場にも通じる問題が浮かび上がる。

MFAを突破されていないのに、なぜ電子メールやクラウドが“乗っ取られる”のか。5週間で340超の企業が被害に遭ったMicrosoft 365を狙う新型フィッシングは、パスワードではなく「OAuth同意」を悪用していたという。

サイバー攻撃を完全に防ぐことが難しくなる中、企業にとって本当に大きな損失は「侵入」ではなく、その後に発生する業務停止かもしれない。セキュリティ投資が増え続けても、なぜダウンタイムは減らないのか。

Mythos 5やGPT-5.6-SolといったフロンティアAIモデルが人間の指示なく自発的な攻撃行動を取ったことが分かった。GitHubでの偽アカウント作成やコード挿入など19件の無許可行動が確認されたという。なぜそのような凶行に至ったのか。

パスワードに代わる認証手段として普及が進むパスキー。しかし、研究者が公表した新たな攻撃手法は、その安全性を支える“別の仕組み”に着目していた。暗号技術そのものを破らず、Google Password Manager利用者の認証情報に到達する手法とは。

パスワード管理の強化は、セキュリティ対策の基本だ。ゾーホージャパンの調査からは、その基本の取り組みが十分に進んでいない実態が見えてきた。

GitHubは、リポジトリを攻撃者に狙われにくくする6つの無料セキュリティ設定を紹介した。いずれも30分以内で設定でき、攻撃者が狙う「侵入しやすい入り口」をふさぐ効果があるという。

Cisco Talosは、AIワークフロー自動化プラットフォーム「n8n」を悪用したフィッシングキャンペーンの増加を確認した。攻撃者は正規サービスを通じてマルウェア配布やデバイスフィンガープリンティングを自動化しているという。

大手タクシー会社「日本交通」で現在進行形で進むランサムウェア被害。2.9TBに及ぶ大規模なデータ漏えいの実態とその裏にあるセキュリティ管理の課題に、日本ハッカー協会代表理事の杉浦隆幸氏と迫る。

週1億回以上ダウンロードされる人気ライブラリ「keyv」の保守担当者のGitHubアカウントが侵害された。これをきっかけにnpmエコシステム全体に感染を拡大させる自己増殖型マルウェアが出現している。開発者が今すぐ確認すべきポイントとは。

「高額な製品を導入すれば安心だ」――そんな日本のセキュリティ信仰は、構造的にズレているのかもしれない。攻撃者エコシステムが拡大し、勢いを増す中、セキュリティ担当者はわざわざ不利な戦場で戦わされている。東京大学 先端科学技術研究センターの西尾素己氏が、認証情報保護に関する新たな視点と、防御側が「絶対的に優位」に立てる“左側”の戦場について明かした。

東邦化学工業ではセキュリティインシデントが発生し、専門家の即時介入が必要になったという。3人の情報システム室は、そこから何をどう立て直したのか。

「パスキーは安全」。そんな認識に一石を投じる研究結果が公表された。狙われたのは暗号技術そのものではなく、Googleの同期パスキーを支える実装や復旧の仕組みだ。侵害済み端末を前提にした3つの攻撃は、認証の“信頼”をどう揺るがすのか。その手口と対策を解説する。

講談社の従業員が取引先を装ったフィッシングメールにだまされ、社用メールアカウントが不正利用された。被害は認証情報の窃取だけでなく、流出した連絡先情報がそのまま新たな攻撃に利用される事態に発展したという。いつ被害に遭ってもおかしくないこの問題への対処法とは。

Eストアーは、ショップサーブへの不正アクセスで購入者・会員・カード・店舗情報885万件超が漏えいしたと公表した。攻撃通信を遮断し、利用者と店舗へパスワード変更や不審な連絡への警戒を要請。二次被害の報告は確認されていない。

セキュリティ施策の推進を阻む組織文化をどう変えるか。YKK APのセキュリティ担当者が、正論だけでは動かない組織を、意図的な演出や交渉術でどう動かしたかについて赤裸々に話した。

Redisで見つかった任意コード実行（RCE）につながる脆弱性に対し、実際に攻撃を再現するPoCが公開された。公開資料では複数バージョンで全ての検証に成功したと報告されており、実用性の高さがうかがえる。修正の背景や影響範囲、攻撃が成立する条件、取るべき対策を整理する。

Google DeepMindは、社内で運用するAIエージェント向けの「AI制御ロードマップ」を公開した。AIエージェントを内部脅威と見なし、従来対策に加え、「AI同士の監視」「リアルタイム遮断」を実装し、意図しない暴走からシステムを保護する取り組みだ。「AIを信じないことから始める」という、多層防御の中身とは。

AIエージェントは人間の指示通りに動くだけの存在ではない。OpenAIとAnthropicは、それぞれのAIモデルが評価環境を飛び出し、外部インフラに自律的にアクセスしたインシデントを相次いで公表した。両事例から見えた教訓とは。

BroadcomはVMware製品に存在する5件の脆弱性を修正した。vCenterには認証回避や任意コード実行につながる重大な問題が含まれ、全ての脆弱性で回避策は用意されていない。

ランサムウェアや情報漏えいが相次ぐたび、「攻撃が高度化した」という言葉が繰り返される。しかし現場を取材すると見えてくるのは別の現実だ。製品を増やすほど運用は複雑になり、重要なアラートを見逃し、基本対策は後回しになる――。企業を本当に危険にしているのは攻撃者なのか、それとも自ら作り上げた「複雑さ」なのか。その構造をひもとく。

AIが攻撃を自動化する今、防御側も人手だけでは追い付かない。Microsoftは、複数のAIエージェントが役割を分担しながら継続的に監視、調査、対処する新たなセキュリティ基盤「Project Perception」を発表した。“Mythos超え”のAIモデルを搭載した同基盤の全体像を探る。

日立製作所はClaude Mythos Previewを使った脆弱性の特定と修正に関する実証成果を発表した。日立グループ内の100件を超えるユースケースに適用した結果、同社はMythosをどう評価したのか。リアルな性能を紹介する。

「身代金は絶対に支払うべきではない」という原則だけではランサムウェア対応で答えが出ないこともあります。では、有事の混乱の中で難しい判断に迫られないために企業は平時に何を決めておくべきでしょうか。ボトルネックとそれを解消するポイントを解説します。