今週のセキュリティニュース - 2025年12月19日

トレンドマイクロは12月11日、2025年の国内セキュリティインシデントに関するレポートを公開しました。

このレポートによると、2025年は1日あたり1.5件のセキュリティインシデントの公表があったといいます。また、ランサムウェア被害は依然として深刻で、物流大手や飲料メーカーなどでの大規模な事業停止や、業務委託先への攻撃が連鎖するサプライチェーン攻撃による被害も目立ちました。加えて、暗号化を行わずにクラウド上のデータを削除する手口や、生成AIの悪用といった新たな傾向も指摘されています。

同社は、被害組織自ら攻撃経路やインシデントの要因を共有している事例は、サイバーリスクが発生しやすい箇所が把握できる貴重な情報源であるとして、業種・組織規模問わずインシデント情報に触れることを推奨しています。

12月中旬、通販大手は10月に発生したシステム障害に関する調査結果を公表しました。この攻撃により約74万件の個人情報が流出したとしています。

今回発表された内容によると、攻撃者は6月から同社のシステムへ侵入していたものの、10月に大規模な障害が発生するまで検知できなかったといいます。攻撃者は当初窃取した認証情報を悪用しネットワークに侵入した後、複数のサーバにアクセスするための認証情報の収集を試みたとされています。

同社は、今回の不正アクセスの原因となったアカウントは多要素認証を適用していなかったことが原因の一つとし、対策として全てのリモートアクセスにMFAの徹底や管理者権限の厳格な運用など、セキュリティ対策を強化する方針だと説明しています。

フランス内務省は、12月11日夜から12日にかけて同省のメールサーバーがサイバー攻撃を受け、不正アクセスがあったことを公式に認めました。

攻撃者は一部の文書ファイルにアクセスしたものの、現時点で情報が盗まれたかどうかは確認されていません。内務省は直ちにセキュリティ手順を強化し、職員が利用する情報システムのアクセス管理を厳格化しました。

内務省は警察や国内治安、移民行政を統括する重要機関であり、国家支援型ハッカーや犯罪集団にとって価値の高い標的とされています。フランス当局は攻撃の発生源と範囲を特定するため、捜査を開始しましたが、現時点では、犯行主体は特定に至っていません。

北米の自動車販売業者向けなどに信用調査や本人確認サービスを提供する700Creditは、2025年10月下旬、サードパーティAPIの侵害を起点とするサプライチェーン攻撃を受け、560万人以上の個人情報が流出する大規模なデータ侵害に見舞われました。

提携パートナーとの連携に使用していたAPIの一つが侵害されていたにもかかわらず、該当パートナーから700Creditへの通知が遅れたことが、被害拡大の一因となったとされています。

攻撃は2週間以上にわたって継続し、APIが遮断されるまでの間に、攻撃者は消費者記録の約20％に相当する氏名、住所、生年月日、社会保障番号などの機微な個人情報を取得しました。同社の内部システムや決済情報は侵害されていないものの、流出した情報が巧妙なフィッシング詐欺に悪用される可能性が指摘されています。