#2026-05-27 サイバーセキュリティ関連トピック (3)
はじめに
こんにちは、サイバーの犬です。今回もサイバーセキュリティの気になる動きを中心に、落ち着いて見ていきます。
今回の選定記事は、現場のインシデント対応や脆弱性対策といった緊急性の高い課題から、重要インフラの防御基盤、さらには制度の再編やAIをめぐる動向までを順にたどる構成となっています。個別事案の被害抑制に目を向けた後、OT環境やサプライチェーンの広がりとして捉え直していく流れが、実務の視点に寄り添う形になるでしょう。その先には、規制の枠組みが整えられつつある動きや、自律的なAIがもたらす新たなリスク管理の在り方が控えています。技術的な対応だけでは見えない組織全体のガバナンスや、社会全体のレジリエンスをどう確保していくかという見通しが、今回の記事群を読み進める中で少しずつ浮かび上がってくるかもしれません。日々の業務や戦略の参考にしていただければ幸いです。
記事一覧
🌐 松沢書店にランサムウェア攻撃、「楽譜ナビ」「注文くん」ほか各種サービスに影響
https://scan.netsecurity.ne.jp/article/2026/05/27/55359.html
✔️要約
株式会社松沢書店は5月15日、自社サーバへの不正アクセスによるランサムウェア感染を発表した。これにより「楽譜ナビ」や「注文くん」などのサービスが停止し、受発注や出荷業務に大きな影響が生じた。同社は外部セキュリティ企業の協力のもと、原因調査や被害確認、システム復旧を進め、感染端末の隔離やパスワード変更を実施。5月18日週より出版社向け発注を段階的に再開し、週末も出荷対応を行った。5月25日には「楽譜ナビ」と「注文くん」の一部機能の復旧を確認。今後はセキュリティ体制の見直しと再発防止策を強化し、完全復旧を目指す。
💭考察
不正アクセスからランサムウェア感染へ至る経路を特定し、感染端末の隔離やパスワード変更といった初期対応が迅速にできた点は評価できますね。外部専門家の協力を得ながら「楽譜ナビ」や「注文くん」の再開を進めるにあたり、バックアップの整合性確認やマルウェア残留の排除が再発防止の鍵になるでしょう。稼働再開後は、アクセスログの可視化や不正通信の検知基盤を、運用負荷とバランスさせながら進めていくのが現実的かもしれません。
🌐 新日本検定協会へのランサムウェア攻撃、共栄火災海上保険の顧客等の個人情報が漏えいした可能性
https://scan.netsecurity.ne.jp/article/2026/05/27/55355.html
✔️要約
共栄火災海上保険は5月12日、損害調査業務を委託する新日本検定協会のサーバが第三者から不正アクセスされたことを公表した。同協会は2025年11月にランサムウェア感染を発見しており、調査によりネットワーク機器の脆弱性悪用による侵入とデータ窃取の痕跡が確認された。共栄火災の顧客ら31件分の氏名、生年月日、住所、連絡先などの個人情報漏えいの可能性があり、同社は対象顧客への連絡や委託先の再発防止策徹底、情報管理の強化を図る。
💭考察
ネットワーク機器の脆弱性悪用が侵入経路となった点に留意したいですね。ランサムウェア被害の背景には、パッチ適用の優先順位付けと影響資産の切り分けが常に絡んでいるようです。特に業務委託先のシステムは境界線外にあるため、適用スケジュールの可視化が難しいケースも多いでしょう。委託先が扱う機微なデータを守るには、資産の重要度に応じた適用リソースの配分を見直す時期かもしれません。
🌐 システム障害が発生、サイバー攻撃の可能性 - 精電舎電子工業
https://www.security-next.com/184290
✔️要約
超音波金属接合装置製造の精電舎電子工業は、2026年4月22日にシステム障害が発生したと発表。被害拡大防止のためネットワークを遮断し、関係当局へ報告した。サイバー攻撃の可能性も含めて調査を進めており、個人情報をはじめとする情報資産への影響も確認中である。
💭考察
精電舎電子工業の事象は、製造装置とITが密接に連動する現場のリアルな課題を浮き彫りにしていますね。生産設備の制御系まで波及すれば、サプライチェーン全体の稼働停止につながりかねません。ネットワーク遮断後の復旧では、OT環境における通信監視の再構築や製造データの不整合チェックが重要になりますが、現場の通信監視とデータ整合性への目配りを見据えておくと、思わぬ波及を防ぎやすくなるかもしれません。
🌐 「国家情報会議設置法」成立、国のインテリジェンス機能強化へ
https://internet.watch.impress.co.jp/docs/news/2112094.html
✔️要約
参議院本会議で可決・成立した「国家情報会議設置法」は、サイバーセキュリティや国家安全保障のためのインテリジェンス機能強化を目的としている。同法により、内閣総理大臣を議長とする国家情報会議が設置され、重要情報活動や外国情報活動への対処を審議する。また、内閣官房内閣情報調査室が国家情報局として再編され、政府全体での戦略的調整や各省庁への情報提供を担う。公布から6カ月の施行を目指し、2026年夏頃には機能が本格稼働すると見込まれる。
💭考察
国家情報会議設置法の成立は、単なる組織再編ではなく、政府全体の情報収集と共有を法制化する転換点ですね。各省庁の縦割りを越えた調整が進む中で、民間企業への情報提供や要請の枠組みも法的に明確になっていくでしょう。ガバナンスの観点では、新たな情報流通の基準や調達時のセキュリティ要件がどう整備されるか、施行令の動向を注視しておきたいものです。
🌐 オープンソース化・ OSS 利活用に関する有識者検討会（第 3 回）の会議資料等を掲載しました
✔️要約
デジタル庁が主導する「オープンソース化・OSS利活用に関する有識者検討会」の第3回会議の議事要旨。OSS資産管理に関するコントリビューション受け入れ、脆弱性・不具合対応、ライセンス指針、調達要件、SBOM運用について議論された。コミュニティ文化の構築やメンテナー確保の重要性、特許権侵害リスクへの対応、CSIRTとOSPOの連携による脆弱性管理、調達時のOpenchain認証や法的チェック体制の必要性、SBOMの自動更新・機械可読性要件などが主要論点として共有された。
💭考察
OSS資産のSBOM自動更新やライセンス検査にAIが活用される中で、機械可読性の要件を満たす精度管理が課題となりそうです。AIが抽出した依存関係や特許リスクをOSPOとCSIRTがどう検証し調達要件に落とし込むか、実務の連携設計が鍵になるでしょう。コミュニティの持続可能性と合わせて、アルゴリズムの透明性も意識しておきたいですね。
🌐 リトアニアが外国のアクターによる60万件の国家登記簿記録盗難を調査
（原題: Lithuania investigates theft of 600 , 000 state registry records by foreign actor）
https://therecord.media/lithuania-investigates-theft-of-state-records
✔️要約
リトアニアの登記機関「Centre of Registers」で、外国の脅威アクターによる不正アクセスが発生し、約60万件の公的登録記録が窃取された。氏名、生年月日、国家ID番号、不動産住所などが含まれるが、銀行口座や連絡先は流出していないとされる。不正ログイン資格情報の悪用が原因で、被害額は約11万ユーロと推定される。当局は追加のセキュリティ対策を講じ、登記局長のAdrijus Jusas氏は責任を問われ辞任。野党指導者はロシア情報機関の関与を疑うが、公式な関与は確認されていない。この事件は東欧の公的データ保護の脆弱性と、ハイブリッド脅威の継続を示している。
💭考察
Centre of Registersにおける不正ログイン資格情報の悪用が、60万件の公的データ流出の背景にありました。侵害後の対応では、アクセス経路の特定と追加対策の徹底がまず優先されますが、流出した国家ID番号や不動産住所の悪用リスクをどう監視するか、実務の視点で考えたいですね。被害額の推計や当局の動向も注目されますが、資格管理の更新頻度や認証要件を改めて整理しておくのが賢明でしょう。
🌐 政府省庁のサイバーセキュリティ対策に重大な失敗＝国家監査官が厳しく批判する報告書を公表 - イスラエル・ナショナルニュース
（原題: Comptroller issues scathing report : Cybersecurity failures in government ministries - Israel National News）
https://www.israelnationalnews.com/news/427636
✔️要約
イスラエル国家監察官のエンジンマン氏が、国のサイバー準備状況と公共デジタルサービスの質に関する重大な失敗を指摘する一連の報告書を発表した。外交・建設住宅両省や裁判所管理庁などで組織的怠慢や技術的格差が明らかになり、10月7日発生の「アイアンの剣」戦争後、国家サイバー局が策定した緊急ガイドラインが一部の緊急対応機関に伝達されなかったことが特筆される。また、多くの省庁が脆弱性が指摘されたデジタルツールの使用を数ヶ月にわたり継続、建設住宅省は8年間個人情報保護規制に基づくデータベース登録を怠った。エンジンマン氏はイラン由来のサイバー攻撃への備えを強化し、国家デジタル局に対して公的サービスの一層のデジタル化を即時推進するよう警告・要請した。
💭考察
省庁間のガバナンスが焦点となる事象ですね。建設住宅省が8年間データベース登録を怠った点や、緊急ガイドラインの伝達漏れは、単なる技術不足ではなく規制遵守の仕組みが組織横断で機能していなかった背景にあるのかもしれません。公的サービスのデジタル化が進む中で、調達基準の統一や定期的な監査義務を法制化する枠組みが、実効性を持つかどうかが見えてくる段階でしょう。
🌐 Microsoft SharePointに新たなRCE脆弱性。まだパッチを適用していない人は、今すぐ適用してください。
（原題: Microsoft SharePoint Has a New RCE Flaw. If You Haven ’ t Patched Yet , Go Do That.）
✔️要約
Microsoftは、SharePoint Serverの重大な脆弱性（CVE-2026-45659、CVSS 8.8）に対するセキュリティアップデートを公開しました。これは信頼されないデータの逆シリアライズが原因で、認証済み攻撃者がネットワーク経由でコードを実行できるリモートコード実行（RCE）のリスクがあります。発見者は研究者「MEOW」で、SharePoint Server 2016/2019およびサブスクリプションエディションでパッチが提供されています。SharePointは過去にも標的とされてきたため、CISAも既知の脅威として注目しており、速やかな適用が強く推奨されます。
💭考察
SharePoint ServerのCVE-2026-45659は、認証済みユーザーが逆シリアライズを悪用する経路が把握されています。パッチ適用の優先度を決める際、単にCVSSスコアだけでなく、外部公開範囲や機密データへのアクセス権限を持つアカウントが紐付いているかを確認すると切り分けがスムーズでしょう。CISAが注目する背景には、実際の標的型攻撃で同様の手法が活用されやすい傾向があります。影響範囲を資産リストと照合し、適用順序を整理しておくのが現実的な対策かもしれません。
🌐 「 GitHub Enterprise Server 」にクリティカル脆弱性 - 修正版が公開
https://www.security-next.com/185038
✔️要約
GitHub Enterprise Serverに複数の脆弱性が公表され、26日に修正版がリリースされた。うち2件が重要度クリティカルに分類される。1件はCVE-2026-9312として識別されるSSRF脆弱性であり、アップロードエンドポイントの入力検証不備により認証不要で内部サービスへ不正リクエストを送信可能。機密情報の漏洩リスクがある。もう1件のクリティカル問題はリリースパッケージの署名キー失効に関連し、パッチ適用前にGPG公開キーのローテーションが必要とされている。この他、重要度「高」の問題2件にも対応済み。
💭考察
GitHub Enterprise Serverの修正版では、署名キー失効による配布経路の分断が懸念されていますね。CVE-2026-9312のSSRFもさることながら、パッチ適用前のGPG公開キーローテーションが求められている背景には、CI/CDパイプラインや依存パッケージの信頼性維持が実務上重要になります。組織のビルド環境やパッケージレジストリと、外部リポジトリの同期タイミングを一度見直しておくのが良さそうです。
🌐 CBSE OSMのセキュリティ上の脆弱性に対し、政府は真剣な対応を講じるべきだ－エシカルハッカーが指摘（BusinessLine）
（原題: Government must act seriously on cybersecurity lapses in CBSE OSM , says ethical hacker - BusinessLine）
✔️要約
19歳のセキュリティ研究者がCBSEのオンライン採点システムに重大な認証回避脆弱性を発見。開発元のCoempt EduTeck製ポータルにはハードコードされたマスターパスワードがあり、誰でも採点データを改ざん可能だった。CERT-Inに報告したが対応が鈍く不完全なため、2026年5月に情報を公開。政府機関のセキュリティ怠慢と開発企業の過去の過ちが浮き彫りとなった。
💭考察
CBSEの採点システムで発見されたハードコードされたマスターパスワードは、認証情報管理の根本的な課題を浮き彫りにしていますね。開発元のCoempt EduTeckが実装した権限検証の甘さが、誰でもデータを改ざん可能な状態につながった背景には、設計段階での見落としがあったのかもしれません。特権アカウントのライフサイクル管理や、最小権限の原則を設計初期から組み込んでおくことが、運用上の思わぬ事故を防ぐ視点になるでしょう。
🌐 AIチャットボットの推奨がユーザーをクリプトジャッキングマルウェアサイトへ誘導
（原題: AI Chatbot Recommendations Redirect Users to Cryptojacking Malware Sites）
https://thehackernews.com/2026/05/ai-chatbot-recommendations-redirect.html
✔️要約
Microsoftは、AIチャットボットの回答を介して悪意のあるダウンロードサイトを誘導するアクティブなクリプトジャッキングキャンペーンを警告しました。攻撃者はCrystalDiskInfoやHWMonitorなどの正当なシステムユーティリティを偽装し、高性能GPU搭載のユーザーを標的にします。従来のSEOポイズニングに加え、大規模言語モデル（LLM）へのプロンプト注入や偽装回答を通じて配信経路を拡大しています。感染経路は偽装ツールでScreenConnectをインストールし、プロセスホローイングやレジストリ変更により永続化、gminerやlolMinerなどのマイナーを実行します。MicrosoftはAIを活用したソーシャルエンジニアリングの進化と、GPUリソースを標的とした洗練された攻撃手法を指摘しています。
💭考察
AIチャットボットがクリプトジャッキングマルウェアサイトへ誘導する事象は、生成AIが攻撃経路へと変質しつつあることを示していますね。CrystalDiskInfoやHWMonitorを偽装したツールがScreenConnect経由で侵入し、gminerやlolMinerによるGPUリソースの不正利用へと繋がる経路は、巧妙さを感じます。LLMへのプロンプト注入を介した偽装回答をどう検証するか、GPU利用の可視化を運用に取り入れる視点が、実務上では欠かせないかもしれません。
🌐 FBIが「First VPN」をランサムウェアグループやボットネット、犯罪目的のダークウェブ活動と関連付け、多層防御対策の導入を要請
（原題: FBI links First VPN Service to ransomware gangs , botnets , criminal dark web activity ; calls for layered defensive controls）
✔️要約
FBIは、2014年頃から活動する脅威用VPN「First VPN Service」が少なくとも25のランサムウェアグループやボットネット、ダークウェブ上の犯罪活動に利用されていると報告した。同サービスはフランスとオランダ主導の国際共同作戦で封鎖された。MITRE ATT&CKのT1090（プロキシ）やT1133（外部リモートサービス）などの手法にマッピングされ、悪意のある通信の掩蔽や不正アクセスに使用されていた。FBIは、承認済みVPNのみの利用、MFAの強化、ネットワーク分離、行動分析に基づくインテリジェンス活用など、多層防御の構築と既知のインフラの監視・ブロックを企業に求めている。
💭考察
First VPNの封鎖は通信経路を断つ有効な一手ですが、インシデント対応では既に内部へ浸透した痕跡の追跡が優先されますね。T1090やT1133に該当するプロキシ経由の不正アクセスログを確認し、既知のインフラと結びつくデータ流出経路を特定しておくことで、被害の早期収束に向けた対策の方向性が見えてくるでしょう。
🌐 CERT-InがAIを活用した攻撃者による重要システムへの横断移動、脆弱性攻撃、データ窃取の増幅を警告
（原題: CERT-In warns AI-assisted adversaries amplifying lateral movement , exploitation , data exfiltration across critical systems）
✔️要約
インドCERT-Inが公開した指針は、AIを活用したサイバー攻撃が偵察からデータ窃取までを自動化・高速化し、既存の防御を突破しつつあると警告する。同指針は、定期的な評価やペリメータ中心の防御では不十分とし、継続的な曝露管理、ゼロトラスト、assume breach（侵害ありき）のアプローチ、AIガバナンスの構築、サプライチェーンセキュリティの強化、そして攻撃者側のAI能力に対抗するための適応型防御と継続的検証の実施を組織に求めている。政府、金融、インフラなど重要セクターへの適用が特に強調されている。
🌐 ECB、AIのサイバーセキュリティ課題に関するオンライン会議を主催 - マレーシア『ザ・スター』
（原題: ECB hosts online meeting on AI cybersecurity challenge - The Star | Malaysia）
✔️要約
欧州中央銀行（ECB）は、Anthropicが公開を制限しているAIモデル「Mythos」がもたらすサイバーセキュリティリスクに対応するため、業界や官公庁の300人以上の参加者によるオンライン会議を開催した。Elderson副議長は、Mythosが既存ツールを凌駕する脆弱性発見・攻撃自動化・パッチ逆コンパイル能力を有すると指摘し、ユーロ圏銀行の対応が緊急課題だと警鐘を鳴らした。Anthropicは同AIへのアクセスを米企業や政府機関に限定しており、欧州側は対応情報を取得できずにいる。米国でも連邦準備制度などによる金融機関へのリスク評価会議が開かれている。
💭考察
Anthropicの制限付きモデル「Mythos」がパッチ逆コンパイルや攻撃自動化を可能にするという指摘は、防御側のタイムリーを奪う現実的な脅威ですね。金融機関が直面するのは、既存の脆弱性スキャンでは検知できない自動生成型攻撃の流出経路の特定でしょう。ツールが高度化するほど、むしろ内部の依存関係管理やアクセス制御の可視化が、次なる防御の軸になっていくのかもしれません。
🌐 重要インフラ事業者がサイバー防御を強化すべき理由 - New Civil Engineer
（原題: Why Critical National Infrastructure providers should strengthen cyber defences - New Civil Engineer）
✔️要約
英国NCSCは重要国家インフラ事業者に対し、エネルギーや水道などへの深刻なサイバー攻撃を警戒し、防御強化を警告した。ITとOTの融合により産業制御システムの攻撃対象が拡大しており、従来の設計では不十分。IEC 62443などの標準準拠やEUのNIS2指令対応、テクノロジーベンダーとの連携を通じてOT環境のサイバーレジリエンスを体系的に構築することが急務である。
💭考察
英国NCSCの警告が示す通り、ITとOTの境界が曖昧になるにつれ、制御系が外部から狙われやすくなっていますね。現場の運用者が触れる保守用の通信ポートが、思わぬ侵入経路になるケースも少なくありません。IEC 62443やNIS2の要件を満たすだけでなく、制御盤の物理的なアクセス管理とネットワーク分離を、現場の運用実態にどう落とし込むか。インフラの停止が生活に影響するだけに、技術基準と現場の習慣をすり合わせる作業が、最も重要な防波堤になるのかもしれません。
🌐 サイバーセキュリティ法の新規定が 7 月 1 日から施行されます。 - Vietnam.vn
https://www.vietnam.vn/ja/nhung-diem-moi-cua-luat-an-ninh-mang-co-hieu-luc-tu-1-7
✔️要約
ベトナムが2025年に施行するサイバーセキュリティ法は、データセキュリティを中核に据え、AI・ディープフェイクの悪用やオンライン詐欺、虚偽情報の拡散を厳しく規制する。個人データ・重要データの保護強化と、違反情報処理の時間枠（通常24時間、緊急時6時間）の設定が特徴。また、デジタルプラットフォームにおける子どもや社会的弱者の保護義務を明文化し、国家安全保障と社会秩序の維持を図る。言論の自由を制限するものではなく、悪意あるサイバー脅威と情報侵害に対応する法的枠組みの整備が目的である。
💭考察
ベトナムのサイバーセキュリティ法がデータ保護とAI悪用規制を柱に施行されましたね。特に注目したいのは、違反情報処理に通常24時間、緊急時6時間という明確な時間枠が設けられた点です。海外展開やクラウド利用の現場では、この報告義務を調達基準や組織横断の統制に取り込む必要があるでしょう。法令の文言を運用フローに落とし込む際、担当者がまず確認すべきは、自社のデータフローがどの「重要データ」に該当するかを見極めることかもしれません。
🌐 EUのサイバー機関が共通のサイバーセキュリティインシデント報告テンプレートを支持 - MLex
（原題: EU cyber agencies back common cybersecurity incident reporting templates - MLex）
✔️要約
EUのNIS協力グループは、NIS2指令に基づいたサイバーインシデント報告の共通テンプレートを合意した。このテンプレートは欧州委員会により義務化され、域内の企業間のコンプライアンスコスト削減と報告形式の統一を目指している。今後、実施規則を通じて強制適用となる見込み。
💭考察
NIS2指令が求める報告テンプレートの統一は、単なる様式の整理を超え、調達基準や組織横断の統制を再定義する動きでしょう。域内で定義が揃うことで、インシデント対応の優先順位も自然と可視化されそうです。対策の重心を、様式合わせから実態の把握へ移すタイミングなのかもしれませんね。
🌐 ハッカー圧倒の新型 AI 「ミュトス」上陸。精神科医の面談で“メンタルケア”される人工知能の驚くべき自律性＜山口真由＞（ SPA !） - Yahoo !ニュース
https://news.yahoo.co.jp/articles/7b7fc8b6a7508dbc42987670b825d28b28bf1ea9
✔️要約
米Anthropicが新型AI「クロード・ミュトス」を発表。自律的な脆弱性発見・攻撃コード生成能力を持つとされ、日本政府は重要インフラへの対策方針を策定。開発元はAIの逸脱防止に「メンタルケア」的な対話を実施し、特定企業のみが接続可能な「プロジェクト・グラスウィング」でアクセスを制限。AIセキュリティがAI対AIの時代へ移行する中、自律性制御とインフラ保護が課題となっている。
💭考察
クロード・ミュトスによる攻撃コード生成が自動化される中で、防御側がまず確認しておきたいのは、アクセスを制限している「プロジェクト・グラスウィング」の運用実態そのものではないでしょうか。開発元が対話による逸脱防止を試みる背景には、出力結果が重要インフラの制御系に直接影響するリスクが懸念されるためです。攻撃の自動化速度を追うだけでなく、外部連携用のAPIやSDKの更新履歴を定期的に追跡しておくことが、実務的な警戒線になるかもしれません。
🌐 BNPパリバ、高度なAIモデルがもたらすサイバーセキュリティ脅威に対抗するためMistral AIと提携 - Crypto Briefing
（原題: BNP Paribas teams up with Mistral AI to defend against cybersecurity threats posed by advanced AI models - Crypto Briefing）
https://cryptobriefing.com/bnp-paribas-mistral-ai-cybersecurity-threats/
✔️要約
ヨーロッパ最大の銀行BNP Paribasは、フランスのAI企業Mistral AIと提携し、高度なAIモデルによるサイバー攻撃への防御体制を強化する。この動きは、Anthropicの「Mythos」モデルが実環境テストで72%の脆弱性発見成功率を記録し、27年間放置されたOpenBSDの脆弱性も特定した事実に起因する。両社は2023年9月より実験を開始し、2024年7月に包括契約を締結。今回の発表ではAIセキュリティ特化モデルの開発へ焦点を移し、金融インフラ保護を目指す。欧州中央銀行もAI脅威への対応を議論しており、欧州銀行は米企業依存を避け、データ主権と規制遵守を確保するため地域AIベンダーとの連携を推進している。金融セクターではAI駆動の脅威に対し、欧州発のセキュリティソリューションがネットワーク効果を通じて防御力を高める構図が進んでいる。
💭考察
BNPパリバとMistral AIの連携が示すのは、AIセキュリティツールのサプライチェーンリスクです。金融インフラ保護を掲げつつも、外部モデルの依存関係やCI/CDパイプラインの署名検証が不十分だと、防御側が導入したはずのツールが逆手に取られる恐れがあります。データ主権を重視する欧州銀行の動向は、単なるベンダー選定の問題ではなく、ツールの配布経路と更新フローの透明性を、どのように担保していくかが今後の焦点になっていくでしょう。
おわりに
以上が今回のサイバーセキュリティ関連トピックのまとめです。 気になる記事がありましたら、スキやフォローで応援いただけるとうれしいです。
