【解説】海外サイバー事案21件、委託先や連携アプリが入口に

米国の連邦破産裁判所では通知が止まり、160を超えるMicrosoft 365のテナントには、バックアップ用アプリの資格情報で入られました。どちらも、守る側の製品の欠陥を突かれたわけではありません。委託先、連携アプリ、更新、広告。日々の業務が頼っている経路そのものが、この1か月の海外の事案では入口になっていました。

9月下旬から10月中旬にかけ、海外で公表されたサイバー事案では、製品の脆弱性を突く攻撃と並んで、正規に認められた経路を入口にしたものが相次いだ。米連邦破産裁判所の通知システムは委託先のBAE Systemsで止まり、ConnectWiseのバックアップ用アプリの資格情報は162のMicrosoft 365テナントで悪用された。AOMEI Backupperでは更新用の設定ファイルが書き換えられ、アルジャジーラの端末は広告の配信網を通じてスパイウェアの標的になった。境界機器や業務ソフトの脆弱性の悪用も続き、修正後も侵害が残りうる例が報告されている。

10月の国内では、IDCFクラウドへのランサムウェア攻撃をはじめ、不正アクセスの公表が相次いでいます。その陰で、海外でも企業や行政を巻き込む事案が相次いでいました。ひとつひとつは別々の事案です。それでも、公表資料を並べると、共通する形が浮かびます。少なくない事案で、攻撃者が使ったのは、壊した扉ではなく、すでに開いていた扉でした。

デンマークの国民登録簿で正規の照会アクセスが悪用された事案（118596）や、外部ツールを経由したCanvaの情報流出（118944）は、innovaTopiaでも個別の記事として伝えてきました。ここでは、9月下旬から10月17日までに公表・更新された海外の21件（侵害の公表に加え、脆弱性の公表や摘発も含みます）を、企業や当局の公表資料、研究機関の報告、報道でつなぎ直し、侵入がどこから始まったのかを読み解きます。侵害が起きた時期と、公表された日付は分けて示します。

9月下旬から10月中旬に公表・更新された主な事案

公表日	出来事	出典
9月21日	シンガポールPDPC、生成AIで書いたメール送信スクリプトによる9万5,364人分のメールアドレス漏えいで、Bee Cheng Hiangの改善の約束を公表	PDPC
9月30日	Cisco、Catalyst SD-WAN Managerの認証回避（CVE-2026-76504）を公表。同日KEVに追加	Cisco、CISA
9月30日〜10月1日	KillSecの一斉摘発（Operation KillSwitch）。リークサイトとサーバーを押収、3人を仮逮捕	Europol、Guardia Civil、Group-IB
10月1日	Fortinet、FortiMailの脆弱性（CVE-2026-104286）の悪用を公表	Fortinet、CISA
10月1日	MicrosoftのXアカウントが乗っ取られ、暗号資産トークンの宣伝に使われる	BleepingComputer（報道）
10月2日	iRhythm、6月の情報流出について対象者への通知を開始	iRhythm、カリフォルニア州司法長官
10月5日	Atlassian、Data Center製品のファイル読み取りの脆弱性（CVE-2026-21589）を公表	Atlassian
10月5日ごろ	Georgia Power、顧客ポータル経由の不正アクセスを公表	同社告知、WSB-TV（報道）
10月6〜8日	ASOS、アプリから不正なプッシュ通知。社員アカウント経由の第三者プラットフォームへの侵入と説明	報道（ASOSの発表を引用）
10月8日	Cisco Talos、台湾の研究関係者を狙うUAT-11985を報告	Cisco Talos
10月12〜14日	Ahold Delhaize、一部システムを停止。Albert Heijnの物流に影響	Ahold Delhaize
10月13日	Microsoft、10月の月例パッチを公開。悪用済みはCVE-2026-96951の1件	Microsoft、CISA
10月13〜15日	Ampath、10月2日に確認した事案について個人情報保護法上の通知	報道（Ampathの発表を引用）
10月14日	Collabora、Nextcloud内蔵サーバーの脆弱性（CVE-2026-110447）を公表	Collabora
10月14日	Unit 42、FortiGateに潜むPEERSTITCHを報告	Palo Alto Networks Unit 42
10月14日	米運輸省、FMCSAの問い合わせ窓口（委託先Senture）がネットワーク攻撃を受けたと説明	Politico（報道）
10月15日	米連邦裁判所事務局、BAE Systemsの事案で破産通知システムが停止と告知	米連邦裁判所事務局
10月15日	Citizen LabとConfiant、広告経由でCandiruのスパイウェアが配信されたと報告	Citizen Lab、Confiant
10月15〜16日	GTIGとManageEngine、AOMEI Backupperの更新の改ざんを報告	GTIG、ManageEngine
10月16日	韓国OK貯蓄銀行、預金サービス側でも268人の情報流出を確認し通知	報道（同行の説明を引用）
10月16〜17日	ConnectWise、Cloud Backupのアプリアクセスを停止。Huntressは162テナントで悪用を確認	ConnectWise、Huntress

公表日が近いだけで、互いに関連が確認された事案ではありません。侵害が起きた時期も、公表の直前から約2年前まで幅があります。

委託先と連携アプリが入口に

米連邦破産裁判所の通知が止まった

米連邦裁判所事務局は2026年10月15日、全米の連邦破産裁判所の通知を作成・送付する「破産通知センター（BNC）」が、サイバーセキュリティ事案で使えなくなったと告知しました。BNCのシステムとウェブサイトは、防衛大手BAE Systemsが司法府のために運用しています。

停止したのは、bnc.uscourts.gov など通知用の3つのサイトと、債権者の登録サービスです。破産手続きの通知の作成と送付そのものが止まっています。BAEは報道機関に対し、事案はBNCのシステムに限られると説明しました。復旧の見通しや、攻撃の手口、データの持ち出しの有無は、まだ明らかにされていません。

運送事業者の問い合わせ窓口も

米政治メディアのPoliticoは10月14日、米運輸省の傘下で運送事業者を監督するFMCSAの問い合わせ窓口が攻撃を受けたと報じました。窓口を運営するのは委託先のSentureです。運輸省は同紙に、窓口が「ネットワーク攻撃を受けてドメインが落ち、電話も使えなくなった」と説明し、FMCSAのデータは侵害されていないとしています。

報道で停止が伝えられたのは、委託先が運営する窓口です。それでも、5月に始まった登録システムで手続きを進めようとしていた運送事業者は、電話で問い合わせる窓口を使えなくなりました。

162のMicrosoft 365テナントに入ったのは「バックアップのアプリ」

もうひとつの入口は、人のアカウントではなく、アプリの資格情報でした。

ConnectWiseは10月16日から17日にかけて、バックアップサービス「ConnectWise Cloud Backup」（旧SkyKick）でアプリの識別情報への不正アクセスを確認し、サービスのアプリアクセスを止めたと公表しました。影響を受けた接続の証明書はすべて失効させ、外部の調査会社を入れています。バックアップのデータは暗号化・隔離されており、アクセスの形跡はないとしています。

セキュリティ企業Huntressの分析では、悪用されたのは、Cloud BackupがMicrosoft 365に接続するためのアプリの資格情報です。これがあれば、アプリが同意を得ているテナントで、アプリに与えられた権限の範囲でMicrosoftのサービスを操作するトークンを取得できます。この認証では、利用者のパスワード入力も多要素認証の操作も必要ありません。

Huntressは10月16日19時（協定世界時）時点で、162のテナントで不正な認証を確認しました。ConnectWiseの別の管理用アプリが自分自身にExchange管理者などの役割を与えた動きや、1つのテナントで全体管理者になった例も観測されています。ただしHuntressは、前者はベンダーの自動処理の可能性があるとし、これらがCloud Backupの不正な認証と同じ攻撃者によるものかは確認していません。

ConnectWiseは、顧客ごとのMicrosoft 365環境に影響があったかどうかは自社では判断できないとして、各社に確認を求めています。Huntressが勧めるのは、Entra ID上の該当アプリを削除ではなく無効化することです。削除するとアプリへの同意が取り除かれ、サービスを復旧するときに改めて同意が必要になるためです。そのうえで、10月13日以降に追加された秘密の鍵や証明書、管理者の役割を見直します。

ConnectWiseをめぐっては、2025年にリモートアクセスツール「ScreenConnect」のクラウド環境で国家支援型とみられる攻撃者の活動が公表され、innovaTopiaでも伝えました（56821）。今回は別の製品で、悪用されたのはアプリの資格情報です。資格情報が漏れた経緯や、製品の脆弱性が関わったかどうかは、ConnectWiseが調査を続けています。

正規の更新と広告が配布経路に

AOMEI Backupperの「数分間だけの」改ざん

GoogleのGTIGとManageEngineの調査チームは10月16日までに、Windows用バックアップソフト「AOMEI Backupper」の更新の仕組みが悪用されていたと報告しました。

書き換えられたのは、更新の有無やダウンロード先、ポップアップの表示内容を決める2つの設定ファイルです。どちらも電子署名がなく、ファイルの正しさを確かめるための値が、確かめる対象のURLと同じファイルに入っていました。GTIGが確認した改ざんは、5月28日の10分間、7月16日の6分間、7月20日の5分間です。その時間に更新を確かめた端末には不正なファイルが配られ、条件がそろうとバックドアの導入へ進む仕組みでした。GTIGは、確認できた時間帯のほかにも改ざんがあった可能性を指摘しています。

GTIGは攻撃者を「UNC7017」と呼び、国の特定はしていません。確認された被害は11か国の、ITサービス、通信、高等教育などの組織に及びます。

GTIGによると、AOMEIは7月29日、配信サーバーの是正措置を取ったと回答しました。ただし、サーバー側の修正では、すでに感染した端末は元に戻りません。GTIGは、4月から7月までの期間全体にさかのぼって端末と通信を調べるよう勧めています。いま更新先が正常なファイルを返していても、それで過去の警報を打ち消さないことも、両社が求めています。

広告が表示されるだけで標的に

トロント大学のCitizen Labと広告の安全性を調べるConfiantは10月15日、イスラエルの広告企業Discover-Techの広告配信を通じて、Candiruのスパイウェアが届けられていたと報告しました。少なくとも45台のアルジャジーラの端末が、2024年から2025年にかけて標的になったとしています。Candiruは現在「Integrity Labs」と名乗っており、Citizen Labは高い確度でCandiruと結び付けました。

仕組みはこうです。広告には、外部のコードを呼び出す小さなタグが入っているだけで、脆弱性を突くコードは含まれていません。広告が表示されると、モバイルの広告IDやCookieのIDなどの識別子とIPアドレスがDiscover-Techのサーバーに送られます。サーバーはそれをもとに端末を選び、標的と判断した端末にだけ追加のコードを返します。広告を配信する側から見ると、配っている広告は無害に見えます。

Citizen Labは2026年3月から6月の約40億件の入札記録を調べ、攻撃者のスクリプトを含む広告が7万5,373のアプリと12万768のサイトに表示されていたとしています。報告書は、表示されたことがそのまま標的化や感染を意味するわけではない、とも明記しています。

Googleは10月初めにDiscover-Techの広告取引への接続を止め、IAB Europeも10月8日にベンダーの一覧から外しました。Citizen Labは政府機関に、職員の端末で広告を遮断し、広告IDを無効にするよう勧めています。

商用スパイウェアをめぐっては、各国政府とIT企業が濫用の抑制に向けた枠組みに署名した動きを、innovaTopiaでも伝えてきました（11502）。今回の報告は、その抑制の網を、広告という誰もが日常的に受け取る経路がすり抜けうることを示しています。Citizen Labは4月にも、端末ではなく携帯電話の通信網を悪用して利用者の位置を追跡しようとした商用監視の手口を報告しています（98760）。

社員のアカウントと第三者のプラットフォーム

ASOSのアプリから届いた「ASOS HACKED」

報道によると、英国の衣料通販ASOSのアプリ利用者には10月6日、「ASOS HACKED」という題のプッシュ通知が届きました。通知は、ASOSのSnowflakeの環境を「完全に侵害した」と主張し、攻撃者のTelegramチャンネルへ誘導していました。

ASOSは10月8日、信頼できる相手を装った攻撃者が社員のログイン情報をだまし取り、ASOSが使う第三者のプラットフォームにアクセスしたと説明しました（報道による）。対象は氏名や連絡先などで、カード情報やパスワードは影響を受けていないとの認識を示しています。Snowflakeは報道機関に、自社の基盤に欠陥や侵害はないと説明しています。「完全に侵害した」は攻撃者の主張です。

Canvaでも、外部ツールへの不正アクセスを経て、連携先を通じて法人顧客の契約書類などが持ち出されたとみられることが、トルコの当局から公表されています（118944）。

iRhythmは6月の侵害を10月に通知

心電図モニター「Zio」を手がける米iRhythm Technologiesは、10月2日付で、6月に起きた情報流出を利用者に通知しました。6月15日に米SECへ出した報告によると、第三者がホストする業務アプリで不正が見つかり、攻撃者は公開しない見返りに支払いを求めました。入口はソーシャルエンジニアリングで、医療機器や臨床のシステムには影響がないとしています。

対象は氏名、住所、生年月日、機器のシリアル番号、保険の番号、受診日などです。サウスカロライナ州の当局の一覧では、同州の対象者は6万9,526人です。全体の人数は、まだ明らかになっていません。

Metaでも、従業員の盗まれた認証情報がGitHubのリポジトリへの入口になりました（118948）。製品の脆弱性を突かなくても、正規のアカウントには正規の権限が付いてきます。

MicrosoftのXアカウント

10月1日には、約1,300万人のフォロワーを持つMicrosoftのXアカウントが、Clippyを名乗る暗号資産トークンの宣伝に使われました。Microsoftは報道機関に、不正アクセスを確認し、アカウントを保護して不正な投稿を削除したと説明しています。侵入の経路は、まだ明らかになっていません。

修正しても終わらない脆弱性

境界機器のゼロデイについては、10月17日の解説記事でIvanti、BeyondTrust、Citrix、PAN-OSを整理しました（118951）。同じ時期に、ほかの製品でも悪用が続いています。

製品	識別番号	深刻度	内容	状況
Windows（月例パッチ）	CVE-2026-96951	CVSS 3.1で8.8	細工したファイルを開かせ、MOTWによる防御を回避	10月13日に修正。悪用を確認
Collabora（Nextcloud内蔵サーバー）	CVE-2026-110447	CVSS 4.0で9.2	内蔵サーバーが止まっている間、認証なしでOSのコマンドを実行	26.4.303で修正。9〜10月に悪用
Atlassian Data Center製品	CVE-2026-21589	CVSS 4.0で9.3	認証なしで特定のファイルを読み取り	10月5日に修正。10月16日にCVE記録は取り下げ
Cisco Catalyst SD-WAN Manager	CVE-2026-76504	CVSS 3.1で9.8	認証なしで管理者としてAPIを操作	9月30日に修正版を公表。9月に悪用を把握
FortiMail	CVE-2026-104286	CVSS 3.1で9.8	認証なしで任意のファイルを書き込み	修正版あり。悪用を確認
FortiOSほか	CVE-2025-61624	CVSS 3.1で6.0（Fortinetの評価）	管理者権限でのパス・トラバーサル。PEERSTITCHの配置に使用	4月に修正。10月16日にKEVに追加

深刻度の数値は、CVSSの版が違うと単純に比べられません。

Microsoftの月例パッチは約1,400件

Microsoftは10月13日、月例のセキュリティ更新を公開しました。Microsoftは総数を見出しにしていませんが、脆弱性の調査会社ZDIは新しいCVEを1,415件と数え、1か月で過去の年間件数を上回ったと分析しています。

悪用が確認されたのは、Windows Shellの脆弱性CVE-2026-96951の1件です。メールやメッセージで届いた細工ファイルを開かせることで、インターネットから来たファイルに働くMOTWの防御を回避できるというものです。Windows 10、11、Windows Server 2012 R2から2025までの各版が対象で、詳しい版とビルドはMicrosoftの勧告に示されています。発見者には、富士通の研究者2人も名を連ねています。

件数が膨らむなかで、Microsoftは同じ月に「risk cohorts」という考え方も示しました。評価の仕方が似たCVEをまとめて見せるもので、Microsoftは公式の分類ではなく、更新の指針を変えるものでもないと説明しています。

修正から約1か月後にCVEが公開されたCollabora

オフィス文書をブラウザーで編集する「Collabora Online」には、Nextcloudに組み込んで使う内蔵サーバーの形があります。この内蔵サーバーの脆弱性CVE-2026-110447は、内蔵サーバーが止まっているとき、たとえば再起動や更新の直後に、認証なしでコマンドを実行できるものでした。

攻撃は9月10日ごろから管理者に報告され、修正版は9月中に出ていました。CVEの番号と勧告が出たのは10月14日です。Collaboraは、GitHubでのCVE発行の処理が数週間待ちになったことと、AIを使った監査による報告が急増したことを理由に挙げています。今年だけで「10年分」の報告を受けたといい、自ら番号を発行できる機関（CNA）になる申請を進めています。

CVEの番号で照合する仕組みでは、番号が公開されるまで、この脆弱性を拾いにくくなります。単体のCollabora OnlineやDocker版、Nextcloud All-in-Oneは対象外で、内蔵サーバーを使っている場合は、アプリを無効にするだけでは足りず、更新か削除が必要です。

Atlassianの番号は取り下げに

Atlassianは10月5日、Jira、Confluence、BitbucketなどのData Center製品で、認証なしに特定のファイルを読み取れる脆弱性を公表しました。CISAは10月15日にKEVに加えています。

ところが翌16日、AtlassianはこのCVEの記録を「公開が誤りか誤検知の可能性がある」として取り下げました。アドバイザリーは同じ番号のままで、取り下げの理由や新しい番号は、本記事の時点ではまだ明らかになっていません。番号の扱いがどうなっても、修正版の適用はアドバイザリーに沿って進めておくのが確実です。

修正しても残るFortiGateの侵害

Palo Alto NetworksのUnit 42は10月14日、FortiGateに潜む「PEERSTITCH」を報告しました。攻撃者は2024年9月にFortiManagerの脆弱性を突き、通信分野のマネージドサービス事業者から500台を超えるFortiGateの設定と認証情報を持ち出しました。その後、4月に公表された別の脆弱性を使ってPEERSTITCHを仕込んでいます。

PEERSTITCHは、配置の途中でファイルを使うものの、自らを消し、常駐する部分はメモリ上だけで動きます。ディスクに残り続けるファイルはありません。Unit 42は、侵害された管理基盤にあった認証情報や証明書は盗まれたものとして交換するよう求め、パッチを当てるだけでは侵害は終わらないと書いています。

FortiMailのCVE-2026-104286（10月1日公表）と、CiscoのCatalyst SD-WAN Manager（9月30日公表）も、悪用が確認されたうえでKEVに加わりました。どちらも認証なしで攻撃できます。Ciscoは回避策はないとして修正版への更新を求めており、一時的で部分的な防御としてLive Protectの仕組みも用意しています。

台湾の研究者を狙う偽のイベント招待

Cisco Talosは10月8日、台湾の研究機関の関係者に偽のイベント招待を送る攻撃者「UAT-11985」を報告しました。台湾欧州連合センターなど実在の機関を装い、Googleフォームに見えるリンクから偽のログイン画面へ誘導します。

使われたキットは、利用者と本物のログイン画面の間に入り込むAitM型で、被害者のログイン画面を攻撃者がリアルタイムで操作でき、多要素認証の入力も横取りを狙います。本物のイベントのポスターのQRコードを差し替える手口も確認されました。Talosが分析したメールは3通で、報告書は被害の件数を示していません。キットの画面は簡体字中国語の話者が最初に作った可能性があると、中程度の確度で評価しています。

食品、電力、医療検査に及んだ被害

Ahold Delhaizeの店頭で棚が空に

オランダに本社を置く小売大手Ahold Delhaizeは10月12日、ネットワーク内のセキュリティ問題で一部のシステムを止めたと発表しました。13日には、顧客、従業員、取引先のデータが持ち出された証拠は現時点で見つかっていないとし、システムの段階的な再開に入っています。欧米の店舗は営業を続けています。

報道によると、Albert Heijnでは物流センターが止まって一部の商品が棚から消え、ネット通販も止まりました。米国のStop & ShopやFood Lionでもサイトやアプリが使えなくなったと伝えられています。

同じ週にはフランスのスーパー数百店で冷凍設備の制御装置が狙われました（118860）。オランダのNCSC-NLは、欧州の食品分野で起きた一連の事案が互いに関係しているとみる材料はないとしています（報道による）。別々の攻撃でも、店頭では同じ「棚の空白」として現れます。

Georgia Powerは顧客ポータルから

米電力会社Georgia Powerなど、Southern Company傘下の3社は、顧客アカウントの情報に不正にアクセスされたと告知しました。氏名、住所、電話番号、メールアドレス、社会保障番号の下4桁などが対象で、銀行口座やカードの番号は含まれないとしています。Georgia Powerは地元局に、顧客ポータルで不審な動きを検知したと説明し、対象は3社で約40万件、うちGeorgia Powerが約30万件のアカウントだとしています。

南アフリカの検査大手Ampath

南アフリカの臨床検査大手Ampathは、10月2日にサイバー攻撃の事案を確認したと患者に通知しました（報道による）。「ByteToBreach」を名乗る攻撃者で、氏名、ID番号、医療保険の情報、支払いに関する情報などが対象になった可能性があります。診断や検査結果、銀行情報が影響を受けた証拠はないとしています。

攻撃者は8,000万件を盗んだと主張していますが、Ampathは、この数字はデータベースの記録の数とみられ、1人の患者に長年で多くの記録があるため、患者の人数として読むべきではないと説明しています（報道による）。

韓国の金融とシンガポール、AIをめぐる2つの事案

OK貯蓄銀行、預金サービス側でも流出

韓国では10月初めから金融機関の情報流出が相次ぎ、新韓銀行など3行の事案と、金融委員会が外部に公開したシステムの点検を指示したことは、innovaTopiaでも伝えました（118474）。その記事で書いたとおり、当局の発表文が求めたのはAI対策ではなく、認証なしで内部情報に届く経路をふさぐことでした。

韓国メディアによると、OK貯蓄銀行では10月11日夜から12日未明にかけ、融資の申込ページへの異常なアクセスで250人の情報が流出しました。さらに15日未明にはモバイルの預金サービスのページが狙われ、16日に268人分の流出を確認して個別に通知しています。預金側の情報は、氏名、口座番号、商品名、残高、金利、最終取引日です。

李在明大統領は10月4日に徹底した調査を指示したと報じられています。攻撃にAIエージェントが使われたかどうかは、調査中で確認されていません。

生成AIで書いたスクリプトで9万5,364人分が漏えい

AIが確かに関わった事案は、シンガポールにありました。

シンガポールのPDPCは9月21日、食品会社Bee Cheng Hiangのマーケティングメールで、会員9万5,364人分のメールアドレスが漏えいした事案を公表しました。4月25日のメールは1,000件ずつまとめて送られ、各受信者から、自分以外の最大999人分のアドレスが見える状態でした。

原因は、社員が個人で使っていた生成AIで書いたPythonのスクリプトです。宛先をまとめる構造に誤りがあり、1,000人分のアドレスが同じメールの宛先欄に入りました。PDPCはこれを「括弧が欠けた」設定の誤りと説明し、AIツールの誤作動ではないとしています。プロンプトにほかの受信者のアドレスを隠す指示がなく、試験はログの確認にとどまって実際のメールの中身を見ていませんでした。上司が確認する仕組みも、AIの使い方の方針もありませんでした。

PDPCは、同社が自主的に改善を約束する形でこの事案を扱いました。AIを使ったコードの独立したレビュー、ダミーの宛先での試験送信、複数の宛先が入ったメールの自動遮断などです。現地の報道は、これをPDPCに届け出られた国内初のAI関連の情報漏えいと伝えています。

AIを使うこと自体ではなく、AIが書いたものを誰が確かめるのか。PDPCの決定が問うているのは、そこです。

KillSecの摘発

捜査する側の動きもありました。ドイツのハンブルク州刑事局とハンブルク検察が主導し、Europolや10か国が加わった「Operation KillSwitch」で、9月30日、ランサムウェア集団KillSecのリークサイトが押さえられ、少なくとも110TBのデータが確保されました。捜査の過程では5台の中核サーバーも警察の管理下に置かれています。ギリシャ、ルーマニア、スペイン、英国の8か所が捜索され、3人が仮逮捕されています。

スペインの治安警察は、アリカンテ県でルーマニア国籍の未成年を逮捕しました。中心的な管理者とみられています。米司法省は、オランダ国籍の男をプエルトリコの連邦大陪審で起訴し、男は英国で逮捕されました。

被害の数え方は機関によって異なります。Group-IBはリークサイトで被害を主張された組織を274と数え、スペインの治安警察は被害者を280超とし、約1,000件の攻撃のうち約500件が成功したと説明しています。KillSecは2025年にブラジルの医療向けソフト会社への攻撃を主張しており、innovaTopiaでも伝えました（66311）。10月には、Qilinの中心メンバーとみられる男が日本で拘束され、ドイツに引き渡されたことも報じられています（118651）。

日本の組織が見直せること

今回の事案の多くは、日本の組織にも同じ形で起こりえます。

委託先と連携アプリの棚卸し。Microsoft 365やGoogle Workspaceに同意を与えたアプリの一覧を開き、いまも使っているか、どの権限を持っているかを確かめます。ConnectWiseの事案では、アプリの資格情報が悪用され、Huntressは162のテナントで不正な認証を確認しました。

更新の仕組みを信頼の前提にしない。AOMEIで確認された改ざんは、合わせて21分でした。更新のたびに監視するのは難しくても、更新後に不審な通信が出ていないかを見る仕組みはつくれます。

修正と調査を分けて考える。PEERSTITCHやAOMEIの事例が示すように、修正で入口はふさがっても、侵害された端末や盗まれた資格情報は残ることがあります。パッチを当てた日を「終わった日」にしないことです。

AIが書いたコードにも、人が書いたコードと同じ確認を。PDPCが原因に挙げたのは、AIの誤作動ではなく、配備前の試験が不十分だったこと、上司が確認する仕組みやAIの使い方の方針がなかったことでした。

信頼の経路を使えなくすることはできません。業務は委託先にも、連携アプリにも、更新にも頼って回っています。問われているのは、どの扉を誰に開けているのかを、組織が自分で言える状態にしておくことです。

Canva、恐喝グループが「2億行」窃取を主張　9月には外部ツール経由で法人顧客の契約書類が流出

Meta、GitHubリポジトリに不正アクセスで約1,500人に通知　入口は従業員の盗まれた認証情報

仏スーパー数百店で冷凍設備にサイバー攻撃、Danfossなどの遠隔制御装置が標的に

韓国・新韓銀行など3行で顧客情報流出、金融委員会が外部公開システムの緊急点検を指示

デンマークCPR約880万人分に不正アクセス、悪用されたのは正規の照会窓口

【解説】楽天ドライブ・ミスターマックスに不正アクセス、Qilin中心メンバーとみられる男のドイツ引き渡しも報道

ConnectWise ScreenConnect脆弱性CVE-2025-3935：国家支援型攻撃が暴くリモートアクセスセキュリティの新たな脅威

ブラジル医療業界で大規模データ侵害　KillSec集団がMedicSolutionから9万4千ファイル窃取

スマホは無傷でも追跡される—Citizen Lab「Bad Connection」が暴いた通信網ハッキングの実態

国際連携でスパイウェア濫用に挑む：数十カ国と大手IT企業が署名

【編集部後記】

ConnectWiseの事案を分析したHuntressの報告に、「トークンは発行された、持ち出しは見えていない」という一文があります。Microsoft Graphを通じたディレクトリの読み取りは、監査ログに跡を残さないためです。

見えていないことは、何も起きなかったことと同じではありません。報告書も、データが取られていないという意味ではないと念を押しています。

自分の組織のログで、何が見えて、何が見えないのか。その線引きを知っているかどうかが、次の事案の初動を分けるのかもしれません。

【用語解説】

アプリの資格情報
アプリがMicrosoft 365などのサービスに、人の代わりに接続するための認証情報。クライアントシークレットや証明書などがあり、アプリに与えられた権限の範囲でデータを読み書きできる。

テナント
Microsoft 365などのクラウドサービスで、契約した組織ごとに区切られた環境。利用者のアカウント、データ、設定、連携アプリへの同意がテナント単位で管理される。

Entra ID
Microsoftのクラウド向けの認証・アクセス管理の仕組み。旧称はAzure Active Directory。Microsoft 365の利用者や連携アプリの権限を管理する。

CVE
公開された脆弱性に振られる世界共通の識別番号。番号を発行する機関（CNA）が採番し、脆弱性管理の製品や一覧はこの番号で情報を照合することが多い。

CVSS
脆弱性の深刻度を0から10の数値で示す共通の指標。版によって評価の項目と値の出方が異なり、3.1と4.0の数値は単純に比べられない。

KEV
米CISAが公開する「悪用が確認された脆弱性」の一覧。連邦政府機関には期限内の対処が義務づけられ、民間でも修正の優先度を決める目安として使われる。

MOTW（Mark of the Web）
インターネットから取得したファイルにWindowsが付ける目印。ファイルを開くときの警告や、Officeの保護ビューなどの防御がこの目印をもとに働く。

AitM（Adversary-in-the-Middle）
利用者と本物のログイン画面の間に入り込み、入力されたパスワードや多要素認証のやり取りを中継して横取りする手口。

商用スパイウェア
民間企業が開発し、政府機関などに販売する監視用の不正なソフトウェア。端末の通信、ファイル、マイク、カメラなどに入り込む。

リークサイト
ランサムウェア集団などが、盗んだデータを公開すると脅したり、実際に公開したりするために運営するウェブサイト。

マネージドサービス事業者
企業に代わって、ネットワーク機器やサーバー、セキュリティ機器の運用と保守を請け負う事業者。多数の顧客の機器を管理する権限を持つ。

【参考リンク】

米連邦裁判所「Cybersecurity Incident Disrupting Bankruptcy Court Operations」（外部）
米連邦裁判所事務局の10月15日の告知。BAE Systemsが運用する破産通知システムの停止と、使えなくなったサイトの一覧を示す。

ConnectWise「Trust Center Advisories」（外部）
ConnectWiseのセキュリティ勧告の一覧。Cloud Backupのアプリアクセス停止や証明書の失効、利用者に求める確認の内容を示す。

Huntress「ConnectWise (SkyKick) Vendor Credential Abused in M365 Attacks」（外部）
Huntressによるアプリ資格情報の悪用の分析。テナントをまたぐ不正な認証の時系列と、無効化などの対処の手順を示している。

Google Cloud「Investigating Ephemeral Supply Chain Tampering」（外部）
GTIGによるAOMEI Backupperの更新の改ざんの分析。改ざんの時間帯、使われたマルウェア、さかのぼる調査の範囲を示す。

ManageEngine「AOMEI Backupper supply-chain compromise: Investigation and analysis」（外部）
ManageEngineの調査チームによるAOMEIの事案の分析。検知までの経緯と、端末側で確かめる痕跡や検知ルールを示している。

Citizen Lab「Exposing AdFection」（外部）
Citizen Labの報告書。広告配信を通じたCandiruのスパイウェアの仕組み、アルジャジーラへの攻撃、業界と政府への提言を示す。

Confiant「ADINT: Weaponized Ad Tech for Zero-Click Spyware and Mass Identity Vacuuming」（外部）
Confiantによる分析。Discover-Techの広告がどれだけの規模で配信され、どのように利用者の識別情報を集めていたかを示す。

Ahold Delhaize「Update on Ahold Delhaize’s cybersecurity incident」（外部）
Ahold Delhaizeの10月13日の発表と14日の追記。データ持ち出しの証拠の有無と、停止したシステムの段階的な再開を伝える。

Microsoft Security Response Center「Using risk cohorts to prioritize security updates」（外部）
MSRCのブログ。10月の更新で示したrisk cohortsの考え方と、それが公式の分類でも更新の指針でもないという位置づけを示す。

Microsoft「CVE-2026-96951」（外部）
Windows Shellのセキュリティ機能を回避する脆弱性の勧告。攻撃の流れ、対象となる版とビルド、修正の更新プログラムを示す。

Zero Day Initiative「The October 2026 Security Update Review」（外部）
ZDIによる10月の月例更新の解説。新しいCVEの件数の集計と、悪用が確認された脆弱性や優先して当てたい脆弱性を整理している。

Collabora Online「GHSA-g3vx-3m76-fghh」（外部）
Nextcloud内蔵のCollaboraサーバーの脆弱性の勧告。攻撃が成り立つ条件、対象の版と修正版、回避策がないことを示す。

Collabora Online「Stay safe: upgrade everything regularly」（外部）
Collaboraによる経緯の説明。対象外となる構成、CVEの公開が遅れた理由、番号を発行する機関になるための申請を記している。

Atlassian「CVE-2026-21589 – Arbitrary File Access Vulnerability Impacts Multiple Products」（外部）
AtlassianのData Center製品群の脆弱性の勧告。製品ごとの修正版と、すぐに更新できない場合に取れる緩和策を示している。

Cisco「Cisco Catalyst SD-WAN Manager System Account Authorization Bypass Vulnerability」（外部）
Catalyst SD-WAN Managerの認証回避の勧告。悪用の状況、系列ごとの修正版、侵害の痕跡を確かめるログの場所を示している。

Fortinet「FG-IR-26-175」（外部）
FortiMailのファイル書き込みの脆弱性の勧告。対象の版と修正版、IBEの無効化などの回避策、侵害の痕跡を示している。

Palo Alto Networks Unit 42「Unit 42 Uncovers PEERSTITCH, a Stealthy FortiGate Implant」（外部）
Unit 42によるPEERSTITCHの分析。FortiManagerへの侵入から配置までの経緯と、修正後も必要な認証情報の交換を示す。

Cisco Talos「UAT-11985: AI-assisted event lures delivering real-time Google AitM phishing」（外部）
Cisco Talosの分析。台湾の研究関係者を狙う偽のイベント招待から、ログイン画面を操作するキットまでの流れを示している。

CISA「Known Exploited Vulnerabilities Catalog」（外部）
米CISAが公開する、悪用が確認された脆弱性の一覧。各脆弱性が追加された日と、連邦政府機関に求める対処の期限を確かめられる。

PDPC「Voluntary Undertaking by Bee Cheng Hiang Marketing Pte Ltd」（外部）
シンガポール個人情報保護委員会の公表。生成AIで書いたスクリプトによる漏えいの原因と、同社が約束した5つの改善の内容を示す。

Guardia Civil「Un detenido en España en una operación internacional contra el grupo de ransomware KillSec」（外部）
スペイン治安警察の発表。KillSecの捜査の経緯とスペインでの逮捕、攻撃の件数や被害者の数、押さえたサーバーを伝える。

Group-IB「Operation KillSwitch」（外部）
捜査に協力したGroup-IBの発表。一斉捜査の内容と、KillSecがリークサイトで被害を主張した組織の数と分布を示している。

Europol「Teenager suspected of leading KillSec ransomware group」（外部）
Europolの発表。KillSecを率いたとみられる未成年の摘発と、サーバーとリークサイトの押収、各国の捜査機関の連携を伝える。

iRhythm「Notice of Data Security Incident」（カリフォルニア州司法長官の掲載）（外部）
iRhythmが州当局に届け出た通知の掲載ページ。侵害の期間、対象となった情報の項目、利用者が取れる対策を確かめられる。

iRhythm Technologies「Form 8-K」（2026年6月）（外部）
iRhythmが米SECに提出した6月の報告。不正の検知、公開しない見返りの支払い要求、ソーシャルエンジニアリングという入口を記す。

【参考記事】

BleepingComputer「BAE Systems cyberattack disrupts US federal court operations」（外部）
BAE Systemsの事案で米連邦破産裁判所の通知システムが止まったことと、BNCに限られるとするBAEの説明を伝える記事。

Politico（Yahoo転載）「Cyberattack disrupts Transportation Department safety…」（外部）
FMCSAの問い合わせ窓口が攻撃を受け、委託先Sentureのドメインと電話が止まったと運輸省が説明したことを伝える記事。

TechCrunch「Asos confirms breach of customer data after hackers send rogue app notification」（外部）
ASOSのアプリから不正なプッシュ通知が届いたあと、同社が第三者プラットフォーム経由での顧客データへの接触を認めたと伝える記事。

ITWeb「Ampath downplays data breach claims」（外部）
攻撃者が主張する8,000万件について、Ampathが1人の患者に多くの記録があり、患者数ではないと説明したことを伝える記事。

DigitalToday「OK Savings Bank says deposit customer data also leaked, 268 more confirmed」（外部）
OK貯蓄銀行の情報流出が預金サービス側にも広がり、268人分が追加で確認されて、銀行が個別の通知を終えたことを伝える記事。

BleepingComputer「Microsoft’s X account hacked in crypto token pump-and-dump scheme」（外部）
MicrosoftのXアカウントが乗っ取られて暗号資産トークンの宣伝に使われたことと、アカウントを保護したとする説明の記事。