見出し画像

【2026年5月版】セキュリティ情報まとめ

YASUO-JP

2026年5月は、国内外で気になるセキュリティ関連ニュースがかなり多い月でした。

日本では、委託先を起点にした大規模な情報漏えいの最終報告や、国税庁による還付金・納付詐欺への注意喚起、そして「サイバー対処能力強化法」の段階的施行など、制度面も含めて動きがありました。

海外では、医療機関や開発基盤、製造業を狙った大きな事故が報じられました。さらに IT 面では、cPanel & WHM や Ghost CMS といった広く使われるシステムの脆弱性、そして Google Cloud による AI 活用型の防御基盤など、守る側・攻める側の両方で変化が見えています。

今回は、5月に報じられた主要トピックを
「国内」・「国際」・「IT・技術」
の3つに分けて、読者向けにざっくり整理してみます。

国内動向

損保大手の委託先で3万件超の個人データが漏えいした可能性

5月は、損保大手の事故調査業務を受託していた外部機関へのサイバー攻撃について、最終報告ベースの情報が広く共有された月でもありました。

報告によると、攻撃者はネットワーク機器の脆弱性を足がかりに内部へ侵入し、権限を広げたうえでデータを持ち出し、さらにランサムウェアを実行したとされています。
いわゆる「二重脅迫型」の手口で、流出した可能性があるのは、業務関係者や従業員、採用候補者などを含む3万件超の個人データです。
さらに、この委託先は70社以上から業務を受けていたとされ、サプライチェーン全体のリスクが改めて意識される事案になりました。

この手の事故で怖いのは、自社がしっかり対策していても、外部委託先が突破口になりうることです。「委託しているから大丈夫」ではなく、委託先のセキュリティ水準や、事故時の連絡体制まで含めて見直す必要があると感じます。

国税庁が「還付金・納付詐欺」SMSやLINEに注意喚起

5月も、税金を装った詐欺は引き続き注意が必要でした。

国税庁は、不審なメールやSMS、なりすましサイトに注意するよう改めて案内しています。特に重要なのは、国税庁はショートメッセージやメール、LINE で納付や差押え予告をしないと明記している点です。URL付きメッセージから支払いを求められたら、かなり怪しいと見てよさそうです。

こうしたフィッシングは、メッセージ内容がもっともらしいほど引っかかりやすいです。

「税金」「還付金」「未納」は誰でも焦りやすいテーマなので、リンクを踏む前に、まずは公式サイトや税務署に直接確認するのが一番確実です。

「サイバー対処能力強化法」が動き出した

制度面での大きな話題としては、サイバー対処能力強化法と関連法の段階的施行があります。

官邸の説明資料を見ると、この法律は単に「厳しくする」だけではなく、

  • 官民の情報共有を強めること

  • サイバー攻撃の兆候を早めに把握すること

  • 必要に応じて遠隔措置を取れるようにすること

そして司令塔機能を強化することを柱にしています。
今後、重要インフラ事業者などには報告義務や情報共有の体制整備がより強く求められていきます。

法律の細部は少し難しいのですが、ざっくり言えば、
「国と民間がもっと本格的に連携して守る方向へ進んでいる」
と理解すると分かりやすいです。

重要インフラに関わる企業だけでなく、その周辺でシステムやサービスを支える会社も、無関係ではいられなくなってきています。

国際情勢

NYC Health + Hospitalsで180万人規模の情報漏えい

米国では、NYC Health + Hospitals の大規模漏えいがかなり重い話題でした。

報道によると、2025年11月から2026年2月にかけて外部ベンダー経由で不正アクセスが行われ、少なくとも180万人分の情報が流出した可能性があるということです。含まれるのは医療情報、保険情報、本人確認書類に加え、指紋や手のひらの紋様などの生体情報 まで含むとされています。医療機関だけでなく、採用候補者側の情報も対象になっていた可能性が指摘されています。

医療情報の漏えいも十分深刻ですが、生体情報はパスワードのように変更できないのが厄介です。
この件は、医療機関や公共機関が自前の対策だけでなく、ベンダー経由の侵害にもかなり注意しないといけないことを改めて示しています。

GitHub内部リポジトリ侵害が示した「開発環境」の危うさ

5月には、GitHub 自身の内部リポジトリ侵害もソフトウェア開発界隈では大きな話題になりました。

報道ベースでは、攻撃者は TeamPCP と名乗り、約3,800本規模の内部リポジトリを持ち出したと主張しています。侵入経路としては、従業員端末に導入された改ざん済み Visual Studio Code 拡張機能が使われたとされており、GitHub側も内部リポジトリの流出を認めつつ、顧客データへの直接影響は現時点で確認されていないと説明しています。

この件が怖いのは、ゼロデイというより

「普段使っている開発ツールや拡張機能が入口になった」

ということです。

ここ最近、開発者へのサプライチェーン攻撃が多くも感じます。
開発者向けの拡張機能や依存パッケージは便利ですが、その分サプライチェーン攻撃の入口にもなりやすいので、今後ますます慎重な運用が必要になりそうです。

Foxconn へのランサムウェア攻撃と、上流サプライチェーンのリスク

製造業では、Foxconn が受けたランサムウェア攻撃も注目されました。

報道によると、Nitrogen ランサムウェアグループは 8TB以上 のデータを盗み出したと主張し、その中には Apple、Nvidia、Intel、Google などの顧客関連文書や設計情報が含まれる可能性があるとされています。Foxconn 側は攻撃自体を認めつつ、すべての主張内容を確認したわけではないものの、工場運営には一部影響が出たとされています。

この件で見えてくるのは、「自社が攻撃されなくても、上流の製造委託先や供給元が狙われることで影響を受ける」という構図です。
サプライチェーンリスクという言葉はよく聞きますが、実際の被害として見るとかなり現実味があります。

IT・技術トレンド

cPanel & WHM の認証回避脆弱性は早急な対処が必要だった

5月の IT 面では、cPanel & WHM の脆弱性も大きな話題でした。

cPanel は 4月28日に、CVE-2026-41940 の認証回避問題について公開し、修正版を案内しました。影響を受けるのは比較的広いバージョンに渡るので、公式は直ちに更新することを呼びかけています。

この件で重要なのは、脆弱性そのものの難しさよりも、
「管理パネル系の脆弱性は、突かれると一気に権限を奪われやすい」
という点です。

自分でサーバーを持っている人や、ホスティングを運用している人にとっては、かなり他人事ではない話だとは思います。

Ghost CMS の SQLインジェクション脆弱性が大量改ざんに悪用

Ghost CMS の脆弱性も、5月の中ではかなりインパクトが大きい話でした。

Ghost では 6.19.1 で重要な修正が入っており、Ghost コミュニティでも「古いバージョンなら本当に急いで上げた方がいい」という強い注意喚起が出ています。実際、管理用キーを奪われたうえで不正なアカウント作成や悪性コード注入が行われた事例が共有されており、報道では700以上のサイト改ざんにもつながったとされています。

この件は、CMS のアップデートを後回しにする怖さがかなりよく出ています。ブログやメディア運営は「動いているから後でいいや」となりがちですが、放置するとそのまま改ざんやマルウェア配布の踏み台になる可能性があります。

Google Cloud が「AI Threat Defense」を発表

守る側の話としては、Google Cloud の AI Threat Defense も印象的でした。

Google Cloud の公式発表では、Mandiant の知見、Wiz のクラウドセキュリティ基盤、そして Gemini を組み合わせて、AIを使って継続的に脅威を監視・優先順位付け・修復支援する 方向が示されています。単に「脆弱性を見つける」だけではなく、攻撃者目線で何が本当に危ないのかを見極める という考え方が前面に出ています。

AIは攻撃側にも使われていますが、防御側も同じく AI を本格活用し始めています。

今後は「AIを使うかどうか」ではなく、どう安全に使うか、どう防御に活かすか がますます重要になっていきそうです。

おわりに

5月のセキュリティ動向をざっくり振り返ると、

  • 委託先経由の漏えい

  • 医療・製造・開発基盤への攻撃

  • 広く使われるシステムへの脆弱性悪用・開発者への攻撃

が目立つ月でした。

一方で、AIを活用した防御基盤のように、守る側の技術も進んでいます。
とはいえ、基本はやはり変わりません。

  • 脆弱性を早めに把握する

  • パッチを後回しにしない

  • 委託先や取引先も含めて見る

  • 怪しいSMSやメールは、すぐに信用しない

このあたりの基本動作を、どれだけ丁寧に回せるかが大事だと感じます。

ニュースとして読むだけで終わらせず、「自分の環境（自社の環境や提供するサービス）ならどこが危ないか」に落とし込めると、セキュリティ対策ができるかと思います。

関連記事

参考サイト

国内

国際

IT・技術

いいなと思ったら応援しよう！

YASUO-JP よろしければ応援お願い致します。 いただいたチップはnoteへのコンテンツ活動費として使わせて頂きます。